Trojan.DownLoader11.49456

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

C:\Documents and Settings\NetworkService\Favorites\Desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BOMC0KQ2\desktop.ini
%WINDIR%.exe
<Служебный элемент>
C:\System Volume Information.exe
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KBIH0327\desktop.ini
<SYSTEM32>\wbem\Performance\WmiApRpl_new.h
<SYSTEM32>\wbem\Performance\WmiApRpl_new.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BOMC0KQ2\aa[1].txt
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\3MR1K3V5\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\RW1Z0KTX\desktop.ini
C:\RECYCLER.exe
<SYSTEM32>\system.exe
<SYSTEM32>\svhost.exe
%WINDIR%\Driver.db
%WINDIR%\Tasks\At1.job
C:\startup.exe
C:\<Служебное имя>.exe
%PROGRAM_FILES%.exe
C:\Far2.exe
<Текущая директория>.exe
C:\Documents and Settings.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

Создает и запускает на исполнение:

'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\RECYCLER.exe
'<SYSTEM32>\system.exe' copyc:\RECYCLER.exe
'<SYSTEM32>\system.exe' copy%PROGRAM_FILES%.exe
'<SYSTEM32>\system.exe' copyc:\<Служебное имя>.exe
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy%PROGRAM_FILES%.exe
'<SYSTEM32>\commander.exe' <Служебный элемент>
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy%WINDIR%.exe
'<SYSTEM32>\system.exe' copy%WINDIR%.exe
'<SYSTEM32>\system.exe' copyc:\System Volume Information.exe
'<SYSTEM32>\system.exe' <Служебный элемент>
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\System Volume Information.exe
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\<Служебное имя>.exe
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy\startup.exe
'<SYSTEM32>\system.exe' copy\startup.exe
'%WINDIR%\svhost.exe'
'<SYSTEM32>\commander.exe' /C at 9:00 /interactive %WINDIR%\svhost.exe
'<SYSTEM32>\commander.exe' /C schtasks /run /tn at1
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy<Текущая директория>.exe
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\Far2.exe
'<SYSTEM32>\system.exe' copyc:\Far2.exe
'<SYSTEM32>\system.exe' copyc:\Documents and Settings.exe
'<SYSTEM32>\system.exe' copy<Текущая директория>.exe
'<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\Documents and Settings.exe

Запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KBIH0327\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\3MR1K3V5\desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\RW1Z0KTX\desktop.ini
%WINDIR%\svhost.exe
C:\Documents and Settings\NetworkService\Favorites\Desktop.ini
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BOMC0KQ2\desktop.ini

Удаляет следующие файлы: