Trojan.DownLoader11.56071

Добавлен в вирусную базу Dr.Web: 2014-12-23

Описание добавлено: 2014-12-22

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\Web\dongfang_7654_694.exe'
'%WINDIR%\Web\9e_UC_ID=52797,UCB=52797,.exe'
'%WINDIR%\Web\9e_QIYIPPSmedia_ID=52797,PPS=051105,.exe'
'%WINDIR%\Web\9e_QQB_ID=52797,QWR=52797,.exe'
'%WINDIR%\Web\9e_qqpcmgr_ID=52797,NQQ=122010099,.exe'
'%WINDIR%\Web\jzbrowser_7654_694.exe'
'%WINDIR%\Web\jKAVSETUPS_60_309152.exe'
'%WINDIR%\Web\360sd_7654_694.exe'
'%WINDIR%\Web\qhse_7654_694.exe'
'%WINDIR%\Web\9e_kgmusic_ID=52797,MKG=050988,.exe'
'%WINDIR%\Web\9e_admon_ID=52797,ADM=52252,.exe'
'%WINDIR%\Web\9e_Liebao_ID=52797,KSB=050495,.exe'
'%WINDIR%\Web\9e_pp_ID=52797,PPI=52797,.exe'
'%WINDIR%\Web\qhws_7654_694.exe'
'%WINDIR%\Web\bdBrowserSetup-5954-ftn_1000119506.exe'
'%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1793394 "__IRAFN:<Полный путь к вирусу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
'%WINDIR%\Web\desk43_21265.exe' /Silent-ture
'%WINDIR%\Web\BaiduAn.Setup.1117.3.0.0.3972_1000119506.exe'
'%WINDIR%\Web\Baidusd.Setup.3.0.0.4606.youqian_1000119506.exe'
'%WINDIR%\Web\explorer42_21265.exe' /sp-
'%WINDIR%\Web\PPTV(pplive)_3.5.6.0087_forqd1473_119506.exe'
'%WINDIR%\Web\BaiduYouQianPartPackSilent_1.1.0.11_119506.exe'
'%WINDIR%\Web\sysdiag-c109_694.exe'
'%WINDIR%\Web\QygInstall_21265_bid_119506.exe' /s
'%WINDIR%\Web\BaiduPinyinSetup_sw-0000119506.exe'
'%WINDIR%\Web\jzbrowser_7654_694.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_kgmusic_ID=52797,MKG=050988,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\explorer42_21265.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_Liebao_ID=52797,KSB=050495,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\QygInstall_21265_bid_119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\dongfang_7654_694.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_admon_ID=52797,ADM=52252,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\desk43_21265.exe' (загружен из сети Интернет)
'%WINDIR%\Web\BaiduYouQianPartPackSilent_1.1.0.11_119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\PPTV(pplive)_3.5.6.0087_forqd1473_119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_qqpcmgr_ID=52797,NQQ=122010099,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\sysdiag-c109_694.exe' (загружен из сети Интернет)
'%WINDIR%\Web\Baidusd.Setup.3.0.0.4606.youqian_1000119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\BaiduAn.Setup.1117.3.0.0.3972_1000119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\BaiduPinyinSetup_sw-0000119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\bdBrowserSetup-5954-ftn_1000119506.exe' (загружен из сети Интернет)
'%WINDIR%\Web\qhws_7654_694.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_pp_ID=52797,PPI=52797,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\qhse_7654_694.exe' (загружен из сети Интернет)
'%WINDIR%\Web\360sd_7654_694.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_QQB_ID=52797,QWR=52797,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\jKAVSETUPS_60_309152.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_QIYIPPSmedia_ID=52797,PPS=051105,.exe' (загружен из сети Интернет)
'%WINDIR%\Web\9e_UC_ID=52797,UCB=52797,.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\wscript.exe' "%WINDIR%\Web\Error.wsh"

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Web\qhws_7654_694.exe
%WINDIR%\Web\360sd_7654_694.exe
%WINDIR%\Web\qhse_7654_694.exe
%WINDIR%\Web\9e_pp_ID=52797,PPI=52797,.exe
%WINDIR%\Web\9e_QQB_ID=52797,QWR=52797,.exe
%WINDIR%\Web\9e_UC_ID=52797,UCB=52797,.exe
%WINDIR%\Web\9e_QIYIPPSmedia_ID=52797,PPS=051105,.exe
%WINDIR%\Web\9e_kgmusic_ID=52797,MKG=050988,.exe
%WINDIR%\Web\QygInstall_21265_bid_119506.exe
%WINDIR%\Web\desk43_21265.exe
%WINDIR%\Web\explorer42_21265.exe
%WINDIR%\Web\jzbrowser_7654_694.exe
%WINDIR%\Web\9e_admon_ID=52797,ADM=52252,.exe
%WINDIR%\Web\9e_Liebao_ID=52797,KSB=050495,.exe
%WINDIR%\Web\dongfang_7654_694.exe
%WINDIR%\Web\jKAVSETUPS_60_309152.exe
%TEMP%\_ir_sf_temp_0\IRIMG2.JPG
%WINDIR%\Web\Error.vbs
%WINDIR%\Web\Error.wsh
%TEMP%\_ir_sf_temp_0\IRIMG1.JPG
%TEMP%\_ir_sf_temp_0\irsetup.exe
%TEMP%\_ir_sf_temp_0\lua5.1.dll
%TEMP%\_ir_sf_temp_0\irsetup.dat
%WINDIR%\Web\BaiduAn.Setup.1117.3.0.0.3972_1000119506.exe
%WINDIR%\Web\BaiduYouQianPartPackSilent_1.1.0.11_119506.exe
%WINDIR%\Web\sysdiag-c109_694.exe
%WINDIR%\Web\9e_qqpcmgr_ID=52797,NQQ=122010099,.exe
%WINDIR%\Web\PPTV(pplive)_3.5.6.0087_forqd1473_119506.exe
%WINDIR%\Web\Baidusd.Setup.3.0.0.4606.youqian_1000119506.exe
%WINDIR%\Web\bdBrowserSetup-5954-ftn_1000119506.exe
%WINDIR%\Web\BaiduPinyinSetup_sw-0000119506.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%WINDIR%\Web\Error.wsh
%WINDIR%\Web\Error.vbs

Удаляет следующие файлы:

<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini
%TEMP%\_ir_sf_temp_0\irsetup.dat

Сетевая активность:

Подключается к:

'd.#####.ijinshan.com':80
'my.##ftdh.com':80
'my.##union.cc':80
'dl.##9yi.com':80
'localhost':1039
'12#.#25.114.144':80
'do##.7654.com':80

TCP:

Запросы HTTP GET:

do##.7654.com/downloads/package_one/qhse_7654_694.exe
dl.##9yi.com/pc_single/9e_kgmusic_ID=52797,MKG=050988,.exe
dl.##9yi.com/pc_single/9e_admon_ID=52797,ADM=52252,.exe
dl.##9yi.com/pc_single/9e_pp_ID=52797,PPI=52797,.exe
do##.7654.com/downloads/package_one/qhws_7654_694.exe
do##.7654.com/downloads/package_one/360sd_7654_694.exe
my.##ftdh.com/down2052/QygInstall_21265_bid_119506.exe
my.##union.cc/down15/desk43_21265.exe
my.##union.cc/down42/explorer42_21265.exe
dl.##9yi.com/pc_single/9e_Liebao_ID=52797,KSB=050495,.exe
do##.7654.com/downloads/package_one/dongfang_7654_694.exe
do##.7654.com/downloads/package_one/jzbrowser_7654_694.exe
12#.#25.114.144/ditui/zujian/BaiduPinyinSetup_sw-0000119506.exe
12#.#25.114.144/ditui/zujian/PPTV(pplive)_3.5.6.0087_forqd1473_119506.exe
12#.#25.114.144/ditui/BaiduYouQianPartPackSilent_1.1.0.11_119506.exe
12#.#25.114.144/ditui/zujian/BaiduAn.Setup.1117.3.0.0.3972_1000119506.exe
12#.#25.114.144/ditui/zujian/Baidusd.Setup.3.0.0.4606.youqian_1000119506.exe
12#.#25.114.144/ditui/zujian/bdBrowserSetup-5954-ftn_1000119506.exe
dl.##9yi.com/pc_single/9e_QQB_ID=52797,QWR=52797,.exe
dl.##9yi.com/pc_single/9e_UC_ID=52797,UCB=52797,.exe
dl.##9yi.com/pc_single/9e_QIYIPPSmedia_ID=52797,PPS=051105,.exe
do##.7654.com/downloads/package_one/sysdiag-c109_694.exe
dl.##9yi.com/pc_single/9e_qqpcmgr_ID=52797,NQQ=122010099,.exe
d.#####.ijinshan.com/duba/link/jKAVSETUPS_60_309152.exe

UDP:

DNS ASK d.#####.ijinshan.com
DNS ASK my.##ftdh.com
DNS ASK my.##union.cc
DNS ASK dl##.#r.baidu.com
DNS ASK do##.7654.com
DNS ASK dl.##9yi.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней