Trojan.DownLoader11.46471

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '%WINDIR%\avg.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\sppsvc] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Запускает на исполнение:

'<SYSTEM32>\conhost.exe'
'<SYSTEM32>\DllHost.exe' -Embedding
'<SYSTEM32>\Wat\WatAdminSvc.exe' /run
'<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'FilemonClass' WindowName: ''
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
ClassName: 'RegmonClass' WindowName: ''
ClassName: 'OLLYDBG' WindowName: ''
ClassName: 'GBDYLLO' WindowName: ''
ClassName: 'pediy06' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{4DA0B2BD-741D-11E4-B63E-E5A1CC17CFF3}.dat
%TEMP%\~DFD15946EF91E4BDF6.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{4DA0B2BF-741D-11E4-B63E-E5A1CC17CFF3}.dat
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\errorPageStrings[1]
\Device\Mup\BVNSEUHJ*\MAILSLOT\NET\NETLOGON
%TEMP%\~DFFC7142037EF1E0FC.TMP
%WINDIR%\Temp\tmp6FA3.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab9452.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab9493.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\fwlink[1]
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
%WINDIR%\ServiceProfiles\LocalService\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\IYH7B6EJ
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\1DWWVPG6
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\N2L5GJ7D
%WINDIR%\avg.exe
%WINDIR%\key2010
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\QKQ9NIUD
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\home23,116,116,1,1,1,1[1].bb
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\navcancl[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\navcancl[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\ErrorPageTemplate[1]

Удаляет следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\errorPageStrings[1]
%WINDIR%\Temp\tmp6FA3.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab9493.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab9452.tmp
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\navcancl[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\navcancl[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\ErrorPageTemplate[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\errorPageStrings[1]
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\ErrorPageTemplate[1]

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'www.bb.#om.br':80
'ct###.#indowsupdate.com':80
'20#.#6.232.182':443
'www.it#####sonnalite.com.br':80
'www.it##.com.br':80
'www.sr###.com.br':80
'www.sa####der.com.br':80
'www.br###sco.com.br':80

TCP:

Запросы HTTP GET:

20#.#6.232.182/pki/crl/products/microsoftrootcert.crl
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?76##############
20#.#6.232.182/pki/crl/products/WinPCA.crl
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?2b##############
20#.#6.232.182/fwlink/?Li###########
20#.#6.232.182/fwlink/?Li########################################
www.br###sco.com.br/
www.it##.com.br/
www.sa####der.com.br/
www.bb.#om.br/portalbb/home23,116,116,1,1,1,1.bb
www.it#####sonnalite.com.br/

Запросы HTTP POST:

www.sr###.com.br/uploads/envia.php

UDP:

DNS ASK crl.microsoft.com
DNS ASK ct###.#indowsupdate.com
DNS ASK ur#.##crosoft.com
DNS ASK ie#####e.microsoft.com
DNS ASK ie#####t.microsoft.com
DNS ASK www.microsoft.com
DNS ASK go.###rosoft.com
DNS ASK www.br###sco.com.br
DNS ASK www.it##.com.br
DNS ASK www.sr###.com.br
DNS ASK www.bb.#om.br
DNS ASK www.it#####sonnalite.com.br
DNS ASK www.sa####der.com.br

Другое:

Ищет следующие окна:

ClassName: 'OleMainThreadWndClass' WindowName: ''
ClassName: 'IEFrame' WindowName: ''
ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
ClassName: '' WindowName: ''
ClassName: 'Shell DocObject View' WindowName: ''
ClassName: 'Internet Explorer_Server' WindowName: ''
ClassName: 'Frame Tab' WindowName: ''
ClassName: 'TabWindowClass' WindowName: ''
ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: '18467-41' WindowName: ''
ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'TApplication' WindowName: 'Microsoft'
ClassName: 'Shell_TrayWnd' WindowName: ''