Trojan.DownLoader11.46319

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\xmgUIMEI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\SUwMIcwc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\kMEMogsw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\PYQIgooo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\EgcQQUgI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\xEgscMYM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\lgcoIUkk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\qsMckcEw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\bscUkwUM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ugYEwUgE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /c ""%TEMP%\iEgEwQEg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\rqcgYgUY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /c ""%TEMP%\bmMgUcgw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\reg.exe' <Служебный элемент>
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\mCMksAgY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YYAIcsUk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\pEgwgcIU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dGQUAMgg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\TYUkoYUg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tsUcwoMc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\iMYMkwMs.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\nOIwAYMA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\DQQcEUkc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\WikEocok.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\AAgIMsIY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dmskYMkQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\mEIEcEwk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\gmcksAMA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ZWgEcQYU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\sooIAsog.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\qUwY.ico
%TEMP%\QsIgUYwY.bat
C:\RCX12.tmp
<Текущая директория>\mQAo.exe
C:\RCX11.tmp
%TEMP%\PYQIgooo.bat
C:\RCX10.tmp
<Текущая директория>\moMy.exe
<Текущая директория>\EgMU.ico
%TEMP%\cWAAMQcU.bat
%TEMP%\xmgUIMEI.bat
<Текущая директория>\iUQc.ico
%TEMP%\kMEMogsw.bat
C:\RCX13.tmp
%TEMP%\XosMIgQE.bat
%TEMP%\SUwMIcwc.bat
<Текущая директория>\tkUK.exe
<Текущая директория>\jAgU.ico
C:\RCXD.tmp
<Текущая директория>\BgAE.exe
<Текущая директория>\tuUU.ico
%TEMP%\jWwUsoIE.bat
<Текущая директория>\eeEI.ico
<Текущая директория>\uQMg.exe
<Текущая директория>\MOMs.ico
C:\RCXC.tmp
%TEMP%\qsMckcEw.bat
%TEMP%\aesYwgcc.bat
C:\RCXF.tmp
<Текущая директория>\Uccc.exe
<Текущая директория>\Hmkk.ico
<Текущая директория>\CkkU.exe
C:\RCXE.tmp
<Текущая директория>\aUUo.exe
<Текущая директория>\CegA.ico
%TEMP%\lgcoIUkk.bat
<Текущая директория>\SsQg.exe
%TEMP%\ugYEwUgE.bat
%TEMP%\bGUoowQw.bat
<Текущая директория>\nMgI.exe
<Текущая директория>\ZWQA.ico
%TEMP%\bkMgcwAk.bat
C:\RCX18.tmp
<Текущая директория>\QcMY.exe
%TEMP%\eaEMooUY.bat
%TEMP%\RAkogUwg.bat
%TEMP%\NKgsoswQ.bat
%TEMP%\iEgEwQEg.bat
%TEMP%\LakYAgsQ.bat
%TEMP%\psgwYEQo.bat
%TEMP%\KMcoMQIs.bat
%TEMP%\bscUkwUM.bat
%TEMP%\liEMEUkg.bat
%TEMP%\rqcgYgUY.bat
C:\RCX19.tmp
<Текущая директория>\kqQY.ico
%TEMP%\BmMookMA.bat
C:\RCX16.tmp
<Текущая директория>\tcsw.exe
C:\RCX15.tmp
%TEMP%\ggsAkwQw.bat
C:\RCX14.tmp
<Текущая директория>\dcYY.exe
<Текущая директория>\KesA.ico
<Служебный элемент>
%TEMP%\mWkcsEYE.bat
%TEMP%\bmMgUcgw.bat
<Текущая директория>\BuwA.ico
%TEMP%\mCMksAgY.bat
<Текущая директория>\Ngws.ico
%TEMP%\MMgMoUko.bat
C:\RCX17.tmp
<Текущая директория>\kcwA.exe
%TEMP%\sooIAsog.bat
%TEMP%\pOsEIQAo.bat
%TEMP%\ZWgEcQYU.bat
%TEMP%\HyYIkUAk.bat
<Текущая директория>\GGEk.ico
%ALLUSERSPROFILE%\casg.txt
%TEMP%\gmcksAMA.bat
%TEMP%\mEIEcEwk.bat
%TEMP%\CMwsQgMo.bat
%TEMP%\DQQcEUkc.bat
<Текущая директория>\yAoA.ico
C:\RCX3.tmp
<Текущая директория>\AUcG.exe
%TEMP%\yKsQkYIg.bat
C:\RCX2.tmp
<Текущая директория>\LIkM.exe
%TEMP%\dmskYMkQ.bat
%TEMP%\hUwsUMcc.bat
%TEMP%\OKgIoYIA.bat
%TEMP%\file.vbs
%TEMP%\RoAoIUIg.bat
%TEMP%\dGQUAMgg.bat
%TEMP%\iMYMkwMs.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
<Текущая директория>\<Имя вируса>
%TEMP%\xmEkQgcA.bat
<Текущая директория>\ywAy.exe
%TEMP%\TYUkoYUg.bat
%TEMP%\EskgsMQA.bat
C:\RCX1.tmp
%TEMP%\CAAkUoQQ.bat
%TEMP%\pEgwgcIU.bat
%TEMP%\jasMUIws.bat
<Текущая директория>\mycE.ico
%TEMP%\tsUcwoMc.bat
%TEMP%\BgkcwcUY.bat
<Текущая директория>\qkIe.exe
<Текущая директория>\XIsc.ico
<Текущая директория>\ucws.ico
C:\RCX9.tmp
%TEMP%\tUwMIwgc.bat
<Текущая директория>\nowQ.ico
C:\RCX7.tmp
C:\RCX8.tmp
<Текущая директория>\ngMC.exe
%TEMP%\pqcMAssk.bat
C:\RCXB.tmp
%TEMP%\jQQwIkQQ.bat
%TEMP%\EgcQQUgI.bat
<Текущая директория>\lUUa.exe
C:\RCXA.tmp
<Текущая директория>\CQQO.exe
<Текущая директория>\uyEg.ico
%TEMP%\xEgscMYM.bat
<Текущая директория>\WCQg.ico
%TEMP%\AAgIMsIY.bat
%TEMP%\icYQgQMA.bat
<Текущая директория>\Fowa.exe
C:\RCX4.tmp
%TEMP%\MWIgkkwg.bat
%TEMP%\nOIwAYMA.bat
<Текущая директория>\FAMa.exe
<Текущая директория>\EsQY.ico
%TEMP%\YYAIcsUk.bat
%TEMP%\gocsAoss.bat
<Текущая директория>\Vgss.exe
<Текущая директория>\wKcc.ico
C:\RCX6.tmp
<Текущая директория>\TiMI.ico
C:\RCX5.tmp
%TEMP%\WikEocok.bat
<Текущая директория>\rwcy.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

%TEMP%\XosMIgQE.bat
<Текущая директория>\qUwY.ico
<Текущая директория>\mQAo.exe
<Текущая директория>\moMy.exe
<Текущая директория>\EgMU.ico
<Текущая директория>\SsQg.exe
<Текущая директория>\iUQc.ico
<Текущая директория>\jAgU.ico
%TEMP%\cWAAMQcU.bat
<Текущая директория>\tkUK.exe
%TEMP%\QsIgUYwY.bat
<Текущая директория>\aUUo.exe
<Текущая директория>\tuUU.ico
%TEMP%\jWwUsoIE.bat
<Текущая директория>\BgAE.exe
<Текущая директория>\eeEI.ico
<Текущая директория>\Uccc.exe
<Текущая директория>\Hmkk.ico
<Текущая директория>\CegA.ico
<Текущая директория>\CkkU.exe
%TEMP%\aesYwgcc.bat
%TEMP%\bGUoowQw.bat
<Текущая директория>\BuwA.ico
<Текущая директория>\QcMY.exe
%TEMP%\bkMgcwAk.bat
%TEMP%\bmMgUcgw.bat
%TEMP%\NKgsoswQ.bat
<Текущая директория>\nMgI.exe
%TEMP%\KMcoMQIs.bat
%TEMP%\liEMEUkg.bat
%TEMP%\eaEMooUY.bat
%TEMP%\RAkogUwg.bat
%TEMP%\MMgMoUko.bat
<Текущая директория>\tcsw.exe
<Текущая директория>\KesA.ico
%TEMP%\ggsAkwQw.bat
<Текущая директория>\dcYY.exe
%TEMP%\mWkcsEYE.bat
<Текущая директория>\Ngws.ico
<Текущая директория>\kcwA.exe
<Текущая директория>\kqQY.ico
%TEMP%\BmMookMA.bat
%TEMP%\yKsQkYIg.bat
%TEMP%\BgkcwcUY.bat
<Текущая директория>\GGEk.ico
%TEMP%\hUwsUMcc.bat
<Текущая директория>\LIkM.exe
<Текущая директория>\FAMa.exe
<Текущая директория>\EsQY.ico
%TEMP%\MWIgkkwg.bat
<Текущая директория>\AUcG.exe
<Текущая директория>\yAoA.ico
%TEMP%\HyYIkUAk.bat
%TEMP%\jasMUIws.bat
%TEMP%\CAAkUoQQ.bat
%TEMP%\RoAoIUIg.bat
%TEMP%\xmEkQgcA.bat
%TEMP%\OKgIoYIA.bat
%TEMP%\CMwsQgMo.bat
%TEMP%\pOsEIQAo.bat
<Текущая директория>\mycE.ico
%TEMP%\EskgsMQA.bat
<Текущая директория>\ywAy.exe
<Текущая директория>\ucws.ico
%TEMP%\pqcMAssk.bat
<Текущая директория>\CQQO.exe
<Текущая директория>\qkIe.exe
<Текущая директория>\XIsc.ico
<Текущая директория>\uQMg.exe
<Текущая директория>\MOMs.ico
<Текущая директория>\uyEg.ico
<Текущая директория>\lUUa.exe
%TEMP%\jQQwIkQQ.bat
%TEMP%\tUwMIwgc.bat
%TEMP%\gocsAoss.bat
<Текущая директория>\rwcy.exe
<Текущая директория>\WCQg.ico
%TEMP%\icYQgQMA.bat
<Текущая директория>\Fowa.exe
<Текущая директория>\ngMC.exe
<Текущая директория>\nowQ.ico
<Текущая директория>\wKcc.ico
<Текущая директория>\TiMI.ico
<Текущая директория>\Vgss.exe

Перемещает следующие файлы:

C:\RCX11.tmp в <Текущая директория>\moMy.exe
C:\RCX12.tmp в <Текущая директория>\mQAo.exe
C:\RCX13.tmp в <Текущая директория>\tkUK.exe
C:\RCXE.tmp в <Текущая директория>\aUUo.exe
C:\RCXF.tmp в <Текущая директория>\CkkU.exe
C:\RCX10.tmp в <Текущая директория>\Uccc.exe
C:\RCX17.tmp в <Текущая директория>\kcwA.exe
C:\RCX18.tmp в <Текущая директория>\QcMY.exe
C:\RCX19.tmp в <Текущая директория>\nMgI.exe
C:\RCX14.tmp в <Текущая директория>\SsQg.exe
C:\RCX15.tmp в <Текущая директория>\dcYY.exe
C:\RCX16.tmp в <Текущая директория>\tcsw.exe
C:\RCXD.tmp в <Текущая директория>\BgAE.exe
C:\RCX4.tmp в <Текущая директория>\FAMa.exe
C:\RCX5.tmp в <Текущая директория>\Fowa.exe
C:\RCX6.tmp в <Текущая директория>\rwcy.exe
C:\RCX1.tmp в <Текущая директория>\ywAy.exe
C:\RCX2.tmp в <Текущая директория>\LIkM.exe
C:\RCX3.tmp в <Текущая директория>\AUcG.exe
C:\RCXA.tmp в <Текущая директория>\CQQO.exe
C:\RCXB.tmp в <Текущая директория>\lUUa.exe
C:\RCXC.tmp в <Текущая директория>\uQMg.exe
C:\RCX7.tmp в <Текущая директория>\Vgss.exe
C:\RCX8.tmp в <Текущая директория>\ngMC.exe
C:\RCX9.tmp в <Текущая директория>\qkIe.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'74.##5.232.51':80
'19#.#86.45.170':9999
'20#.#7.164.69':9999
'20#.#19.204.12':9999

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'aeEkEEcE.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней