Trojan.DownLoader11.44531

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\RocketTab Update Task.job
%WINDIR%\Tasks\RocketTab.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha256 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer" -sp "Microsoft Enhanced RSA and AES Cryptographic Provider (Prototype)" -sy "24"
'%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"
'%PROGRAM_FILES%\Search Extensions\certmanager.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"
'%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha256 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Search Extensions\Resources\softokn3.dll
%PROGRAM_FILES%\Search Extensions\uninstall.exe
%PROGRAM_FILES%\Search Extensions\Resources\nss3.dll
%PROGRAM_FILES%\Search Extensions\Resources\smime3.dll
%APPDATA%\Microsoft\SystemCertificates\My\Certificates\936CE7DADFFC13A58688A7995B7EEFD7B42151E5
%APPDATA%\Microsoft\SystemCertificates\My\Keys\8A916D72547E60888C6062FF56B1CC5ADC679499
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\7b90a71bfc56f2582e916a51aed6df9a_23ef5514-3059-436f-a4a7-4cefaab20eb1
%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer
%PROGRAM_FILES%\Search Extensions\Resources\libplds4.dll
%PROGRAM_FILES%\Search Extensions\app.manifest
%PROGRAM_FILES%\Search Extensions\certmanager.exe
%TEMP%\System.Data.SQLite.dll
%PROGRAM_FILES%\Search Extensions\App.config
%PROGRAM_FILES%\Search Extensions\Client.exe
%PROGRAM_FILES%\Search Extensions\Resources\libnspr4.dll
%PROGRAM_FILES%\Search Extensions\Resources\libplc4.dll
%PROGRAM_FILES%\Search Extensions\makecert.exe
%PROGRAM_FILES%\Search Extensions\Resources\certutil.exe

Удаляет следующие файлы:

<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini

Сетевая активность:

Подключается к:

'74.##5.232.51':443
'wp#d':80
'po##.ntp.org':123
'dv######8kcex.centahost.com':80

TCP:

Запросы HTTP GET:

dv######8kcex.centahost.com/impression.do/?ev###############################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev####################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev################################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev#################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev#########################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev###########################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev###############################################################################################################################################################################################################
wp#d/wpad.dat
dv######8kcex.centahost.com/impression.do/?ev###############################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev#############################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev##############################################################################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev############################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev#######################################################################################################################################################################################
dv######8kcex.centahost.com/impression.do/?ev########################################################################################################################################################################################################