Trojan.DownLoader11.52777

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'SunJavaHtml' = '%APPDATA%\microsoft\windows\XML Help\pa2.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\x3264install_flashplayer.exe'
'%TEMP%\RarSFX0\pa2.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
<LS_APPDATA>\Adobe\downloader.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab1.tmp
%APPDATA%\Microsoft\Windows\XML Help\pa2_dll.dll
%TEMP%\RarSFX0\pa2_dll.dll
%TEMP%\RarSFX0\pa2-64.exe
%TEMP%\RarSFX0\pa2.exe
%TEMP%\RarSFX0\pa2_64dll.dll
%TEMP%\RarSFX0\dnlrConf.dat
%APPDATA%\Microsoft\Windows\x3264install_flashplayer.exe
%APPDATA%\Microsoft\Windows\XML Help\pa2.exe
%TEMP%\RarSFX0\x3264install_flashplayer.exe
%APPDATA%\Microsoft\Windows\HTML Help\dnlrConf.dat

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-left[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-left[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\button-right[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-right[3].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-left[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-left[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-right[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-right[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-right[3].png
%TEMP%\RarSFX0\pa2.exe
%TEMP%\RarSFX0\pa2-64.exe
%TEMP%\RarSFX0\pa2_dll.dll
%TEMP%\RarSFX0\pa2_64dll.dll
%TEMP%\Cab3.tmp
%TEMP%\Cab1.tmp
%TEMP%\RarSFX0\dnlrConf.dat
%TEMP%\Cab5.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-right[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bg-close-program[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\mainwindow[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\logo-adobe[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\compact.min[1].js
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\icon-complete[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\icon-blank[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mainwindow[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\icon-complete-error[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bg-header-error[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\button-left[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\button-right[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-right[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\button-left[3].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bg-download-bar-full[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\bg-download-bar-empty[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\button-left[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\button-center[1].png

Перемещает следующие файлы:

%APPDATA%\Microsoft\Windows\x3264install_flashplayer.exe в %TEMP%\x3264install_flashplayer.exe

Сетевая активность:

Подключается к:

'localhost':1038
'wp#d':80
'www.download.windowsupdate.com':80
'localhost':1036
'14#.#51.224.29':80
'localhost':1039

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
14#.#51.224.29/forwe/updown/321.txt/index.php?co######################################
wp#d/wpad.dat

UDP: