Trojan.DownLoader11.58959

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SNMP Information Health Color Time' = '%APPDATA%\hsqemskwdiqpsbz\lytljljyd.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\hsqemskwdiqpsbz\hbzvitsqyqxc.exe' "%APPDATA%\hsqemskwdiqpsbz\lytljljyd.exe"
'%APPDATA%\hsqemskwdiqpsbz\lytljljyd.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\hsqemskwdiqpsbz\lytljljyd.diql
%APPDATA%\hsqemskwdiqpsbz\hbzvitsqyqxc.exe
%APPDATA%\hsqemskwdiqpsbz\lytljljyd.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\hsqemskwdiqpsbz\lytljljyd.exe

Удаляет следующие файлы:

<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini

Сетевая активность:

Подключается к:

'si####object.net':80
'mo###rthird.net':80
'si####childhood.net':80
'mo####object.net':80
'si###ethird.net':80
'la####hildhood.net':80
'se####childhood.net':80
'mo####station.net':80
'si####station.net':80
'mo####childhood.net':80
'mo#####nchildhood.net':80
'po####leobject.net':80
'pe####sstation.net':80
'po#####echildhood.net':80
'mo####inobject.net':80
'po####lestation.net':80
'mo####instation.net':80
'po####lethird.net':80
'mo####inthird.net':80
'la###object.net':80
'se####lbring.net':80
'pr####lyshout.net':80
'se####llisten.net':80
'ma####albring.net':80
'sw###shout.net':80
'pr####lylisten.net':80
'sw###listen.net':80
'pr####lydemand.net':80
'sw###demand.net':80
'ma####allisten.net':80
'se###athird.net':80
'la####tation.net':80
'se####object.net':80
'la###third.net':80
'se####station.net':80
'ma####aldemand.net':80
'se####ldemand.net':80
'ma####alshout.net':80
'se####lshout.net':80

TCP:

Запросы HTTP GET:

si####object.net/index.php?em##############################################
mo###rthird.net/index.php?em##############################################
si####childhood.net/index.php?em##############################################
mo####object.net/index.php?em##############################################
si###ethird.net/index.php?em##############################################
la####hildhood.net/index.php?em##############################################
se####childhood.net/index.php?em##############################################
mo####station.net/index.php?em##############################################
si####station.net/index.php?em##############################################
mo####childhood.net/index.php?em##############################################
mo#####nchildhood.net/index.php?em##############################################
po####leobject.net/index.php?em##############################################
pe####sstation.net/index.php?em##############################################
po#####echildhood.net/index.php?em##############################################
mo####inobject.net/index.php?em##############################################
po####lestation.net/index.php?em##############################################
mo####instation.net/index.php?em##############################################
po####lethird.net/index.php?em##############################################
mo####inthird.net/index.php?em##############################################
la###object.net/index.php?em##############################################
se####lbring.net/index.php?em##############################################
pr####lyshout.net/index.php?em##############################################
se####llisten.net/index.php?em##############################################
ma####albring.net/index.php?em##############################################
sw###shout.net/index.php?em##############################################
pr####lylisten.net/index.php?em##############################################
sw###listen.net/index.php?em##############################################
pr####lydemand.net/index.php?em##############################################
sw###demand.net/index.php?em##############################################
ma####allisten.net/index.php?em##############################################
se###athird.net/index.php?em##############################################
la####tation.net/index.php?em##############################################
se####object.net/index.php?em##############################################
la###third.net/index.php?em##############################################
se####station.net/index.php?em##############################################
ma####aldemand.net/index.php?em##############################################
se####ldemand.net/index.php?em##############################################
ma####alshout.net/index.php?em##############################################
se####lshout.net/index.php?em##############################################