Trojan.DownLoader11.40928

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\cscript.exe' /pid=2308
'<SYSTEM32>\reg.exe' /pid=1380
'<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\reg.exe' /c ""%TEMP%\uKsUosow.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=208
'<SYSTEM32>\reg.exe' /pid=4088
'<SYSTEM32>\reg.exe' /pid=1384
'<SYSTEM32>\taskkill.exe' /pid=2684
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ZSAIIYkw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\WSIYAEQI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3128
'<SYSTEM32>\reg.exe' /pid=2876
'<SYSTEM32>\reg.exe' /pid=3248
'<SYSTEM32>\reg.exe' /pid=2896
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YYwMEIAo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\NCgwAAwo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\QsAEoAso.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\mqwskwow.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\TkwYcYIA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\skMAMAQA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ySoMoEoo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\cscript.exe' /pid=2236
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\iGMgMsAU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=4032
'<SYSTEM32>\reg.exe' /pid=3476
'<SYSTEM32>\reg.exe' /pid=2776
'<SYSTEM32>\reg.exe' /c ""%TEMP%\KoAAwkoM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\LIMwsIgc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RmIAEggY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\KackkUcI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\qaAMUssg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\vecYwcgI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\IyIEggMU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\hmAskgEE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\DAUYEQso.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\WWcggMoY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\taskkill.exe' /FI "USERNAME eq %USERNAME%" /F /IM aeEkEEcE.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\HOcoEkEU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /pid=3320
'<SYSTEM32>\reg.exe' /pid=2772
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\fGkkUcIg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=2988
'<SYSTEM32>\reg.exe' /pid=3048
'<SYSTEM32>\cscript.exe' /pid=2816
'<SYSTEM32>\reg.exe' /pid=2824
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XwwAsQsQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\OyocsEYI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=2604
'<SYSTEM32>\cscript.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\reg.exe' /c ""%TEMP%\HgwkYIcA.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\RCXF.tmp
<Текущая директория>\RUMk.exe
<Текущая директория>\oIcs.exe
<Текущая директория>\Hkwg.ico
C:\RCXE.tmp
<Текущая директория>\sMIk.exe
<Текущая директория>\KsYE.ico
%TEMP%\OugcYkwg.bat
C:\RCX11.tmp
<Текущая директория>\gcEo.exe
<Текущая директория>\hIMo.exe
<Текущая директория>\xkAQ.ico
%TEMP%\KoAAwkoM.bat
C:\RCX10.tmp
<Текущая директория>\QscQ.ico
%TEMP%\SKwQMUYc.bat
%TEMP%\iGMgMsAU.bat
C:\RCXB.tmp
%TEMP%\eQcwUYAk.bat
<Текущая директория>\pMsa.ico
%TEMP%\WmwkAocU.bat
%TEMP%\uKsUosow.bat
%TEMP%\EioYwcoY.bat
<Текущая директория>\XEgG.exe
<Текущая директория>\rkkw.ico
C:\RCXD.tmp
%TEMP%\MSwIAIUQ.bat
<Текущая директория>\lYQw.ico
%TEMP%\YYwMEIAo.bat
C:\RCXC.tmp
<Текущая директория>\UoYe.exe
<Текущая директория>\MMgS.exe
<Текущая директория>\tckK.ico
%TEMP%\mqwskwow.bat
<Текущая директория>\wwkK.exe
<Текущая директория>\jYQO.ico
%TEMP%\LUEYkEsQ.bat
C:\RCX17.tmp
%TEMP%\vGIQkoUY.bat
<Текущая директория>\VQIW.exe
%TEMP%\ySoMoEoo.bat
C:\RCX16.tmp
C:\RCX19.tmp
<Текущая директория>\IcUI.exe
%TEMP%\skMAMAQA.bat
%TEMP%\pAcUkock.bat
<Текущая директория>\jgwA.exe
<Текущая директория>\ucoA.ico
<Текущая директория>\QMgq.ico
C:\RCX18.tmp
<Текущая директория>\zkki.ico
%TEMP%\iyEAIYQw.bat
C:\RCX13.tmp
<Текущая директория>\ZwEe.ico
%TEMP%\QsAEoAso.bat
%TEMP%\MggwgQok.bat
C:\RCX12.tmp
<Текущая директория>\rkcC.exe
<Текущая директория>\bYkE.ico
<Текущая директория>\dAEG.exe
<Текущая директория>\yoYG.ico
%TEMP%\TkwYcYIA.bat
C:\RCX15.tmp
C:\RCX14.tmp
<Текущая директория>\yQEY.exe
%TEMP%\uMYsUoQc.bat
%TEMP%\NCgwAAwo.bat
C:\RCXA.tmp
%TEMP%\HOcoEkEU.bat
%TEMP%\yqUkUAAk.bat
%TEMP%\ogQUAcAk.bat
%TEMP%\dsUcskwY.bat
%TEMP%\IyIEggMU.bat
%TEMP%\hmAskgEE.bat
%TEMP%\vecYwcgI.bat
%TEMP%\kigAUcIw.bat
C:\RCX1.tmp
<Текущая директория>\HQEC.exe
<Текущая директория>\MsUa.ico
%TEMP%\HgwkYIcA.bat
%TEMP%\XwwAsQsQ.bat
%TEMP%\OyocsEYI.bat
<Текущая директория>\GAEo.ico
%TEMP%\wMQsMwQE.bat
%TEMP%\ySksIkgc.bat
%TEMP%\file.vbs
%TEMP%\ZaMIUUww.bat
%TEMP%\LCMQsAcI.bat
%TEMP%\WWcggMoY.bat
%TEMP%\zCAcAkIY.bat
%TEMP%\DAUYEQso.bat
<Текущая директория>\<Имя вируса>
%TEMP%\GIAMcQME.bat
%TEMP%\LIMwsIgc.bat
%TEMP%\luQcAAco.bat
%TEMP%\qaAMUssg.bat
%TEMP%\ggYYQQcI.bat
%TEMP%\KackkUcI.bat
%TEMP%\hwcoUkMs.bat
%TEMP%\RmIAEggY.bat
<Текущая директория>\CooE.exe
C:\RCX7.tmp
<Текущая директория>\WoMy.exe
<Текущая директория>\IkIc.exe
<Текущая директория>\Ickm.ico
%TEMP%\ZSAIIYkw.bat
C:\RCX6.tmp
<Текущая директория>\dIkG.ico
%TEMP%\BAcccogY.bat
C:\RCX9.tmp
<Текущая директория>\vYgi.exe
<Текущая директория>\WMcY.exe
<Текущая директория>\vIsY.ico
%TEMP%\hewUYggg.bat
C:\RCX8.tmp
<Текущая директория>\aUwW.ico
%TEMP%\tOgQcckc.bat
%TEMP%\WSIYAEQI.bat
<Текущая директория>\AkMK.ico
C:\RCX3.tmp
%TEMP%\AEYUkIUk.bat
<Текущая директория>\HwcO.exe
C:\RCX2.tmp
%TEMP%\DIogAsoA.bat
<Текущая директория>\kEwy.exe
<Текущая директория>\pQYC.ico
%TEMP%\IUkwAEgM.bat
C:\RCX5.tmp
<Текущая директория>\CcMm.exe
<Текущая директория>\KEQi.ico
%TEMP%\fGkkUcIg.bat
C:\RCX4.tmp
<Текущая директория>\Fgga.exe
<Текущая директория>\JEcY.ico

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\KsYE.ico
<Текущая директория>\oIcs.exe
<Текущая директория>\RUMk.exe
%TEMP%\eQcwUYAk.bat
%TEMP%\OugcYkwg.bat
<Текущая директория>\QscQ.ico
<Текущая директория>\hIMo.exe
<Текущая директория>\gcEo.exe
<Текущая директория>\Hkwg.ico
%TEMP%\SKwQMUYc.bat
<Текущая директория>\pMsa.ico
%TEMP%\uKsUosow.bat
<Текущая директория>\UoYe.exe
%TEMP%\hewUYggg.bat
%TEMP%\WmwkAocU.bat
<Текущая директория>\sMIk.exe
<Текущая директория>\lYQw.ico
<Текущая директория>\tckK.ico
%TEMP%\MSwIAIUQ.bat
<Текущая директория>\MMgS.exe
%TEMP%\KoAAwkoM.bat
<Текущая директория>\wwkK.exe
<Текущая директория>\jYQO.ico
<Текущая директория>\zkki.ico
%TEMP%\vGIQkoUY.bat
<Текущая директория>\VQIW.exe
<Текущая директория>\IcUI.exe
<Текущая директория>\QMgq.ico
<Текущая директория>\ucoA.ico
%TEMP%\LUEYkEsQ.bat
<Текущая директория>\jgwA.exe
<Текущая директория>\bYkE.ico
%TEMP%\iyEAIYQw.bat
<Текущая директория>\rkcC.exe
<Текущая директория>\xkAQ.ico
%TEMP%\MggwgQok.bat
<Текущая директория>\dAEG.exe
<Текущая директория>\yoYG.ico
%TEMP%\uMYsUoQc.bat
<Текущая директория>\yQEY.exe
<Текущая директория>\ZwEe.ico
<Текущая директория>\rkkw.ico
<Текущая директория>\HQEC.exe
<Текущая директория>\GAEo.ico
%TEMP%\wMQsMwQE.bat
%TEMP%\dsUcskwY.bat
%TEMP%\ogQUAcAk.bat
<Текущая директория>\kEwy.exe
<Текущая директория>\pQYC.ico
%TEMP%\DIogAsoA.bat
<Текущая директория>\CooE.exe
<Текущая директория>\MsUa.ico
%TEMP%\ggYYQQcI.bat
%TEMP%\hwcoUkMs.bat
%TEMP%\LCMQsAcI.bat
%TEMP%\zCAcAkIY.bat
%TEMP%\ZaMIUUww.bat
%TEMP%\kigAUcIw.bat
%TEMP%\yqUkUAAk.bat
%TEMP%\ySksIkgc.bat
%TEMP%\GIAMcQME.bat
%TEMP%\luQcAAco.bat
<Текущая директория>\HwcO.exe
%TEMP%\tOgQcckc.bat
<Текущая директория>\vYgi.exe
<Текущая директория>\Ickm.ico
<Текущая директория>\dIkG.ico
<Текущая директория>\IkIc.exe
<Текущая директория>\vIsY.ico
<Текущая директория>\XEgG.exe
<Текущая директория>\WMcY.exe
<Текущая директория>\aUwW.ico
%TEMP%\EioYwcoY.bat
<Текущая директория>\Fgga.exe
<Текущая директория>\JEcY.ico
%TEMP%\HgwkYIcA.bat
<Текущая директория>\AkMK.ico
%TEMP%\AEYUkIUk.bat
%TEMP%\BAcccogY.bat
<Текущая директория>\WoMy.exe
<Текущая директория>\KEQi.ico
%TEMP%\IUkwAEgM.bat
<Текущая директория>\CcMm.exe

Перемещает следующие файлы:

C:\RCX11.tmp в <Текущая директория>\gcEo.exe
C:\RCX12.tmp в <Текущая директория>\hIMo.exe
C:\RCX13.tmp в <Текущая директория>\rkcC.exe
C:\RCXE.tmp в <Текущая директория>\sMIk.exe
C:\RCXF.tmp в <Текущая директория>\RUMk.exe
C:\RCX10.tmp в <Текущая директория>\oIcs.exe
C:\RCX17.tmp в <Текущая директория>\wwkK.exe
C:\RCX18.tmp в <Текущая директория>\jgwA.exe
C:\RCX19.tmp в <Текущая директория>\IcUI.exe
C:\RCX14.tmp в <Текущая директория>\yQEY.exe
C:\RCX15.tmp в <Текущая директория>\dAEG.exe
C:\RCX16.tmp в <Текущая директория>\VQIW.exe
C:\RCXD.tmp в <Текущая директория>\MMgS.exe
C:\RCX4.tmp в <Текущая директория>\HwcO.exe
C:\RCX5.tmp в <Текущая директория>\Fgga.exe
C:\RCX6.tmp в <Текущая директория>\CcMm.exe
C:\RCX1.tmp в <Текущая директория>\HQEC.exe
C:\RCX2.tmp в <Текущая директория>\CooE.exe
C:\RCX3.tmp в <Текущая директория>\kEwy.exe
C:\RCXA.tmp в <Текущая директория>\WMcY.exe
C:\RCXB.tmp в <Текущая директория>\XEgG.exe
C:\RCXC.tmp в <Текущая директория>\UoYe.exe
C:\RCX7.tmp в <Текущая директория>\WoMy.exe
C:\RCX8.tmp в <Текущая директория>\IkIc.exe
C:\RCX9.tmp в <Текущая директория>\vYgi.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'19#.#86.45.170':9999
'20#.#19.204.12':9999
'20#.#7.164.69':9999

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: '' WindowName: ''
ClassName: '' WindowName: 'Microsoft Windows'
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'aeEkEEcE.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней