Trojan.DownLoader11.45400

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\mCYYsQMA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XqEgUEcM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\hwwocAsU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\cycEYYMg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\oggkYQIg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\zCoIIkkM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YGUUAkIM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\FyUwEUwY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\beYcMwEs.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\kOkssIkM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\vYocIwcU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JSwcUYcM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\CMQQgAgQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\LUAQYggo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\UoQoIkkE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JAwkUksU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\OMookgwc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XaswkIcU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\rMAkIgIc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\gSUUwwAw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\VysMEMkI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\umkAUEUM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tScAMgYU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dWcMcAYM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\sSYQAUkU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YsUocwMg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XUQkgAEo.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\RCX12.tmp
<Текущая директория>\pwEG.exe
%TEMP%\FyUwEUwY.bat
%TEMP%\tockcMwY.bat
%TEMP%\fWEgMMMY.bat
C:\RCX11.tmp
<Текущая директория>\voYA.ico
%TEMP%\oggkYQIg.bat
%TEMP%\QSYwYYcY.bat
C:\RCX13.tmp
%TEMP%\XqEgUEcM.bat
<Текущая директория>\HYgM.ico
%TEMP%\YGUUAkIM.bat
%TEMP%\VwswQkAw.bat
<Текущая директория>\bEEG.exe
<Текущая директория>\sAEo.ico
%TEMP%\zCoIIkkM.bat
<Текущая директория>\QwQy.exe
<Текущая директория>\dgYc.ico
%TEMP%\tScAMgYU.bat
C:\RCXF.tmp
<Текущая директория>\RIgk.exe
<Текущая директория>\amgY.ico
C:\RCXE.tmp
%TEMP%\oOYIgowk.bat
%TEMP%\HAowUcoc.bat
C:\RCX10.tmp
<Текущая директория>\Bgcg.exe
<Текущая директория>\wUEI.ico
%TEMP%\umkAUEUM.bat
%TEMP%\ZOMYgYkM.bat
<Текущая директория>\HwYE.exe
<Текущая директория>\kmcI.ico
%TEMP%\fmIUcUgo.bat
C:\RCX16.tmp
%TEMP%\LUAQYggo.bat
%TEMP%\gaUcgEgo.bat
<Текущая директория>\tOQA.ico
%TEMP%\JSwcUYcM.bat
%TEMP%\AkgAMocQ.bat
<Текущая директория>\KYoC.exe
%TEMP%\HgQQcwQY.bat
<Текущая директория>\PkMA.exe
%TEMP%\ycUkcAkI.bat
C:\RCX17.tmp
%TEMP%\vYocIwcU.bat
%TEMP%\foQgosIU.bat
<Текущая директория>\wIsk.ico
%TEMP%\kOkssIkM.bat
%TEMP%\XGcoMwIM.bat
%TEMP%\swcUEAkY.bat
%TEMP%\zcsYksUw.bat
%TEMP%\cycEYYMg.bat
%TEMP%\hwwocAsU.bat
%TEMP%\tmUooowI.bat
<Текущая директория>\zgoI.exe
%TEMP%\mCYYsQMA.bat
C:\RCX14.tmp
C:\RCX15.tmp
%TEMP%\ekoosMwM.bat
%TEMP%\CMQQgAgQ.bat
%TEMP%\SSQooIcI.bat
%TEMP%\beYcMwEs.bat
%TEMP%\VowAMscI.bat
<Текущая директория>\RYEi.exe
<Текущая директория>\toQk.ico
<Текущая директория>\rqog.ico
%TEMP%\zewssIII.bat
C:\RCX3.tmp
<Текущая директория>\ZoMm.exe
<Текущая директория>\lKoA.ico
%TEMP%\rMAkIgIc.bat
C:\RCX2.tmp
<Текущая директория>\IcIm.exe
<Текущая директория>\wIIc.exe
<Текущая директория>\laww.ico
C:\RCX5.tmp
%TEMP%\EEcAoQcU.bat
<Текущая директория>\YAMw.ico
%TEMP%\sSYQAUkU.bat
C:\RCX4.tmp
<Текущая директория>\TIsS.exe
%ALLUSERSPROFILE%\casg.txt
%TEMP%\file.vbs
%TEMP%\XaswkIcU.bat
%TEMP%\UoQoIkkE.bat
%TEMP%\HAksggUM.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
<Текущая директория>\<Имя вируса>
%TEMP%\hkQkMkgc.bat
C:\RCX1.tmp
%TEMP%\pkcEsocA.bat
%TEMP%\vSIEMkYM.bat
%TEMP%\JAwkUksU.bat
<Текущая директория>\nowY.ico
%TEMP%\MoggocYk.bat
<Текущая директория>\eIcu.exe
%TEMP%\OMookgwc.bat
<Текущая директория>\zAYU.ico
%TEMP%\VysMEMkI.bat
C:\RCXB.tmp
<Текущая директория>\NoIk.exe
<Текущая директория>\wYko.ico
%TEMP%\GyYoYEEU.bat
C:\RCXA.tmp
<Текущая директория>\rkIs.exe
<Текущая директория>\PEki.exe
<Текущая директория>\sIUU.ico
%TEMP%\gSUUwwAw.bat
C:\RCXD.tmp
<Текущая директория>\oEUg.ico
%TEMP%\xOUQoUkw.bat
C:\RCXC.tmp
<Текущая директория>\ZQwO.exe
%TEMP%\YsUocwMg.bat
C:\RCX7.tmp
<Текущая директория>\vIcG.exe
%TEMP%\CIwIkcQQ.bat
%TEMP%\dWcMcAYM.bat
<Текущая директория>\zksE.exe
<Текущая директория>\sEYc.ico
<Текущая директория>\MAAI.ico
C:\RCX6.tmp
<Текущая директория>\jQMW.exe
<Текущая директория>\HgEI.ico
%TEMP%\fCIIgkgU.bat
C:\RCX9.tmp
<Текущая директория>\osgW.exe
<Текущая директория>\RqMY.ico
%TEMP%\XUQkgAEo.bat
C:\RCX8.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\wUEI.ico
%TEMP%\tockcMwY.bat
%TEMP%\fWEgMMMY.bat
<Текущая директория>\Bgcg.exe
%TEMP%\VwswQkAw.bat
%TEMP%\QSYwYYcY.bat
<Текущая директория>\bEEG.exe
<Текущая директория>\pwEG.exe
<Текущая директория>\voYA.ico
%TEMP%\oOYIgowk.bat
%TEMP%\ZOMYgYkM.bat
<Текущая директория>\RIgk.exe
<Текущая директория>\amgY.ico
<Текущая директория>\QwQy.exe
%TEMP%\HAowUcoc.bat
<Текущая директория>\kmcI.ico
<Текущая директория>\dgYc.ico
<Текущая директория>\HwYE.exe
<Текущая директория>\sAEo.ico
%TEMP%\AkgAMocQ.bat
%TEMP%\gaUcgEgo.bat
%TEMP%\XGcoMwIM.bat
<Текущая директория>\toQk.ico
%TEMP%\fmIUcUgo.bat
<Текущая директория>\tOQA.ico
%TEMP%\HgQQcwQY.bat
%TEMP%\foQgosIU.bat
<Текущая директория>\KYoC.exe
%TEMP%\swcUEAkY.bat
%TEMP%\VowAMscI.bat
%TEMP%\tmUooowI.bat
%TEMP%\zcsYksUw.bat
<Текущая директория>\zgoI.exe
%TEMP%\SSQooIcI.bat
<Текущая директория>\RYEi.exe
<Текущая директория>\HYgM.ico
%TEMP%\ekoosMwM.bat
<Текущая директория>\rqog.ico
<Текущая директория>\TIsS.exe
<Текущая директория>\lKoA.ico
<Текущая директория>\ZoMm.exe
<Текущая директория>\YAMw.ico
%TEMP%\EEcAoQcU.bat
<Текущая директория>\zksE.exe
<Текущая директория>\wIIc.exe
<Текущая директория>\laww.ico
%TEMP%\MoggocYk.bat
%TEMP%\pkcEsocA.bat
%TEMP%\hkQkMkgc.bat
%TEMP%\HAksggUM.bat
<Текущая директория>\eIcu.exe
<Текущая директория>\IcIm.exe
%TEMP%\zewssIII.bat
%TEMP%\vSIEMkYM.bat
<Текущая директория>\nowY.ico
<Текущая директория>\sEYc.ico
<Текущая директория>\NoIk.exe
<Текущая директория>\zAYU.ico
<Текущая директория>\rkIs.exe
<Текущая директория>\wYko.ico
%TEMP%\xOUQoUkw.bat
<Текущая директория>\PEki.exe
<Текущая директория>\sIUU.ico
<Текущая директория>\ZQwO.exe
<Текущая директория>\oEUg.ico
%TEMP%\CIwIkcQQ.bat
<Текущая директория>\osgW.exe
<Текущая директория>\vIcG.exe
<Текущая директория>\MAAI.ico
<Текущая директория>\RqMY.ico
<Текущая директория>\HgEI.ico
%TEMP%\GyYoYEEU.bat
%TEMP%\fCIIgkgU.bat
<Текущая директория>\jQMW.exe

Перемещает следующие файлы:

C:\RCXF.tmp в <Текущая директория>\QwQy.exe
C:\RCX10.tmp в <Текущая директория>\HwYE.exe
C:\RCXE.tmp в <Текущая директория>\RIgk.exe
C:\RCXC.tmp в <Текущая директория>\ZQwO.exe
C:\RCXD.tmp в <Текущая директория>\PEki.exe
C:\RCX11.tmp в <Текущая директория>\Bgcg.exe
C:\RCX15.tmp в <Текущая директория>\RYEi.exe
C:\RCX16.tmp в <Текущая директория>\KYoC.exe
C:\RCX14.tmp в <Текущая директория>\zgoI.exe
C:\RCX12.tmp в <Текущая директория>\pwEG.exe
C:\RCX13.tmp в <Текущая директория>\bEEG.exe
C:\RCX4.tmp в <Текущая директория>\TIsS.exe
C:\RCX5.tmp в <Текущая директория>\wIIc.exe
C:\RCX3.tmp в <Текущая директория>\ZoMm.exe
C:\RCX1.tmp в <Текущая директория>\eIcu.exe
C:\RCX2.tmp в <Текущая директория>\IcIm.exe
C:\RCX6.tmp в <Текущая директория>\zksE.exe
C:\RCXA.tmp в <Текущая директория>\rkIs.exe
C:\RCXB.tmp в <Текущая директория>\NoIk.exe
C:\RCX9.tmp в <Текущая директория>\jQMW.exe
C:\RCX7.tmp в <Текущая директория>\vIcG.exe
C:\RCX8.tmp в <Текущая директория>\osgW.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'19#.#86.45.170':9999
'74.##5.232.51':80
'20#.#7.164.69':9999
'20#.#19.204.12':9999

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'aeEkEEcE.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней