Trojan.DownLoader11.45512

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\wGckgAkw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ZEEckAks.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\AYIMMIAA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\bUUUcYgk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\DOIUQYcQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\eScgMAEQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\fscokoIc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\rasAosYM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\bAcoscEk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JmUwgkMQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\fGIIgkwc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RQgggEMY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /c ""%TEMP%\yUwQEccM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\IkcosQkk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\OCEwwwIs.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\PSUswIMA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\jQAAkIsg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\CioEQEgw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\jUcooUgI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\GuEEIwkc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dCAoMwMo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\iQQQwcIw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\nEwQAUMU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\sqosksYo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dKEkAkMo.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\Nokm.exe
<Текущая директория>\PecQ.ico
<Текущая директория>\sSEE.ico
C:\RCX13.tmp
C:\RCX12.tmp
<Текущая директория>\wIEk.exe
%TEMP%\bUUUcYgk.bat
%TEMP%\cWUEQIcY.bat
<Текущая директория>\cogm.exe
C:\RCX15.tmp
<Текущая директория>\pkEI.exe
%TEMP%\ZEEckAks.bat
%TEMP%\fiEMsMck.bat
%TEMP%\oGQkwQcE.bat
C:\RCX14.tmp
<Текущая директория>\tyYI.ico
%TEMP%\wGckgAkw.bat
<Текущая директория>\lakY.ico
<Текущая директория>\QygA.ico
%TEMP%\eScgMAEQ.bat
<Текущая директория>\qIEw.exe
%TEMP%\OIoEcMwk.bat
C:\RCXE.tmp
%TEMP%\IkcosQkk.bat
%TEMP%\DOIUQYcQ.bat
%TEMP%\ZUgcEMww.bat
C:\RCXF.tmp
<Текущая директория>\TgcU.exe
<Текущая директория>\vMAo.ico
%TEMP%\fscokoIc.bat
C:\RCX11.tmp
<Текущая директория>\SkEq.exe
<Текущая директория>\sGkY.ico
%TEMP%\xcocwgQQ.bat
C:\RCX10.tmp
%TEMP%\yUwQEccM.bat
%TEMP%\RQgggEMY.bat
<Текущая директория>\bikM.ico
%TEMP%\DCYYQwAY.bat
<Текущая директория>\wIUC.exe
<Текущая директория>\soko.ico
%TEMP%\mKwUAIYs.bat
C:\RCX1A.tmp
<Текущая директория>\vAcy.exe
<Текущая директория>\GGAI.ico
%TEMP%\tQQkIskc.bat
C:\RCX1C.tmp
<Текущая директория>\uoss.exe
%TEMP%\bAcoscEk.bat
C:\RCX1B.tmp
%TEMP%\JmUwgkMQ.bat
%TEMP%\hoYgYIYg.bat
%TEMP%\fGIIgkwc.bat
<Текущая директория>\BoMg.exe
<Текущая директория>\ScYA.ico
C:\RCX17.tmp
%TEMP%\MWEgMkQg.bat
<Текущая директория>\Tocc.exe
<Текущая директория>\cOUg.ico
%TEMP%\AYIMMIAA.bat
C:\RCX16.tmp
%TEMP%\rasAosYM.bat
<Текущая директория>\dski.exe
<Текущая директория>\cicY.ico
%TEMP%\owIooogQ.bat
C:\RCX19.tmp
<Текущая директория>\AYMm.exe
<Текущая директория>\Fikc.ico
%TEMP%\cmwMwwcg.bat
C:\RCX18.tmp
<Текущая директория>\lUkA.ico
%TEMP%\qIIocwII.bat
C:\RCX4.tmp
<Текущая директория>\nsoS.exe
<Текущая директория>\oOwc.ico
C:\RCX2.tmp
C:\RCX3.tmp
<Текущая директория>\tMwA.exe
<Текущая директория>\FucU.ico
C:\RCX6.tmp
<Текущая директория>\uQIq.exe
<Текущая директория>\GiwU.ico
%TEMP%\gOcoAocU.bat
C:\RCX5.tmp
<Текущая директория>\ZoQu.exe
<Текущая директория>\HKgo.ico
%TEMP%\nEwQAUMU.bat
<Текущая директория>\VUUg.exe
%TEMP%\file.vbs
%TEMP%\jQAAkIsg.bat
%TEMP%\OCEwwwIs.bat
%TEMP%\iSsEAAoQ.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
<Текущая директория>\<Имя вируса>
%TEMP%\RAkIoEUU.bat
<Текущая директория>\KUgY.ico
%ALLUSERSPROFILE%\casg.txt
%TEMP%\DSIEMAMI.bat
%TEMP%\CioEQEgw.bat
<Текущая директория>\aSMc.ico
<Текущая директория>\UYEI.exe
%TEMP%\OMsUUMsM.bat
%TEMP%\PSUswIMA.bat
C:\RCX1.tmp
%TEMP%\jUcooUgI.bat
%TEMP%\iQQQwcIw.bat
<Текущая директория>\CsoU.ico
%TEMP%\dSEIkIkM.bat
<Текущая директория>\buws.ico
%TEMP%\PoUgsUQs.bat
C:\RCXC.tmp
<Текущая директория>\jYUo.exe
<Текущая директория>\YoMk.exe
%TEMP%\kyskAcAY.bat
%TEMP%\WMcswAEY.bat
<Текущая директория>\LowQ.exe
<Текущая директория>\KegM.ico
%TEMP%\xsQMogcA.bat
C:\RCXD.tmp
%TEMP%\dCAoMwMo.bat
%TEMP%\GuEEIwkc.bat
C:\RCXB.tmp
%TEMP%\sqosksYo.bat
C:\RCX8.tmp
<Текущая директория>\IIkY.ico
%TEMP%\RoEQAMIs.bat
C:\RCX7.tmp
<Текущая директория>\cggY.exe
<Текущая директория>\WcEc.exe
<Текущая директория>\dEEE.ico
<Текущая директория>\nAwO.exe
%TEMP%\XiUQwMMM.bat
%TEMP%\dKEkAkMo.bat
<Текущая директория>\dAQi.exe
<Текущая директория>\fmEM.ico
<Текущая директория>\byUE.ico
C:\RCX9.tmp
C:\RCXA.tmp
<Текущая директория>\esUI.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\Nokm.exe
<Текущая директория>\PecQ.ico
%TEMP%\cWUEQIcY.bat
<Текущая директория>\wIEk.exe
<Текущая директория>\lakY.ico
<Текущая директория>\pkEI.exe
<Текущая директория>\tyYI.ico
%TEMP%\oGQkwQcE.bat
<Текущая директория>\cogm.exe
<Текущая директория>\sSEE.ico
<Текущая директория>\qIEw.exe
<Текущая директория>\QygA.ico
%TEMP%\OIoEcMwk.bat
<Текущая директория>\LowQ.exe
<Текущая директория>\KegM.ico
<Текущая директория>\TgcU.exe
<Текущая директория>\vMAo.ico
%TEMP%\xcocwgQQ.bat
<Текущая директория>\SkEq.exe
<Текущая директория>\sGkY.ico
<Текущая директория>\wIUC.exe
<Текущая директория>\soko.ico
%TEMP%\mKwUAIYs.bat
<Текущая директория>\cicY.ico
%TEMP%\owIooogQ.bat
<Текущая директория>\bikM.ico
%TEMP%\tQQkIskc.bat
<Текущая директория>\vAcy.exe
%TEMP%\DCYYQwAY.bat
%TEMP%\hoYgYIYg.bat
%TEMP%\MWEgMkQg.bat
<Текущая директория>\BoMg.exe
<Текущая директория>\cOUg.ico
%TEMP%\fiEMsMck.bat
<Текущая директория>\Tocc.exe
<Текущая директория>\Fikc.ico
<Текущая директория>\dski.exe
<Текущая директория>\AYMm.exe
<Текущая директория>\ScYA.ico
%TEMP%\cmwMwwcg.bat
<Текущая директория>\ZoQu.exe
<Текущая директория>\FucU.ico
<Текущая директория>\lUkA.ico
%TEMP%\qIIocwII.bat
<Текущая директория>\nsoS.exe
<Текущая директория>\cggY.exe
<Текущая директория>\GiwU.ico
%TEMP%\gOcoAocU.bat
<Текущая директория>\uQIq.exe
<Текущая директория>\HKgo.ico
<Текущая директория>\UYEI.exe
%TEMP%\DSIEMAMI.bat
%TEMP%\OMsUUMsM.bat
%TEMP%\RAkIoEUU.bat
%TEMP%\iSsEAAoQ.bat
<Текущая директория>\tMwA.exe
<Текущая директория>\oOwc.ico
<Текущая директория>\aSMc.ico
<Текущая директория>\KUgY.ico
<Текущая директория>\VUUg.exe
<Текущая директория>\buws.ico
%TEMP%\xsQMogcA.bat
%TEMP%\dSEIkIkM.bat
%TEMP%\PoUgsUQs.bat
<Текущая директория>\jYUo.exe
<Текущая директория>\CsoU.ico
%TEMP%\ZUgcEMww.bat
%TEMP%\kyskAcAY.bat
%TEMP%\WMcswAEY.bat
<Текущая директория>\YoMk.exe
<Текущая директория>\nAwO.exe
<Текущая директория>\IIkY.ico
%TEMP%\RoEQAMIs.bat
<Текущая директория>\WcEc.exe
<Текущая директория>\dEEE.ico
<Текущая директория>\dAQi.exe
<Текущая директория>\fmEM.ico
%TEMP%\XiUQwMMM.bat
<Текущая директория>\esUI.exe
<Текущая директория>\byUE.ico

Перемещает следующие файлы:

C:\RCX12.tmp в <Текущая директория>\wIEk.exe
C:\RCX13.tmp в <Текущая директория>\Nokm.exe
C:\RCX14.tmp в <Текущая директория>\cogm.exe
C:\RCXF.tmp в <Текущая директория>\qIEw.exe
C:\RCX10.tmp в <Текущая директория>\SkEq.exe
C:\RCX11.tmp в <Текущая директория>\TgcU.exe
C:\RCX15.tmp в <Текущая директория>\pkEI.exe
C:\RCX19.tmp в <Текущая директория>\dski.exe
C:\RCX1A.tmp в <Текущая директория>\wIUC.exe
C:\RCX1B.tmp в <Текущая директория>\vAcy.exe
C:\RCX16.tmp в <Текущая директория>\Tocc.exe
C:\RCX17.tmp в <Текущая директория>\BoMg.exe
C:\RCX18.tmp в <Текущая директория>\AYMm.exe
C:\RCXE.tmp в <Текущая директория>\LowQ.exe
C:\RCX4.tmp в <Текущая директория>\nsoS.exe
C:\RCX5.tmp в <Текущая директория>\ZoQu.exe
C:\RCX6.tmp в <Текущая директория>\uQIq.exe
C:\RCX1.tmp в <Текущая директория>\UYEI.exe
C:\RCX2.tmp в <Текущая директория>\VUUg.exe
C:\RCX3.tmp в <Текущая директория>\tMwA.exe
C:\RCX7.tmp в <Текущая директория>\cggY.exe
C:\RCXB.tmp в <Текущая директория>\dAQi.exe
C:\RCXC.tmp в <Текущая директория>\jYUo.exe
C:\RCXD.tmp в <Текущая директория>\YoMk.exe
C:\RCX8.tmp в <Текущая директория>\WcEc.exe
C:\RCX9.tmp в <Текущая директория>\nAwO.exe
C:\RCXA.tmp в <Текущая директория>\esUI.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'19#.#86.45.170':9999
'74.##5.232.51':80
'20#.#7.164.69':9999
'20#.#19.204.12':9999

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'aeEkEEcE.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней