Trojan.DownLoader11.60230

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Interactive Proxy Files Grouping Controls' = '%APPDATA%\wjblbzljtkumb\huzlsqkszgqa.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\wjblbzljtkumb\igomagvdhr.exe' "%APPDATA%\wjblbzljtkumb\huzlsqkszgqa.exe"
'%APPDATA%\wjblbzljtkumb\huzlsqkszgqa.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\wjblbzljtkumb\huzlsqkszgqa.pn
%APPDATA%\wjblbzljtkumb\igomagvdhr.exe
%APPDATA%\wjblbzljtkumb\huzlsqkszgqa.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\wjblbzljtkumb\huzlsqkszgqa.exe

Сетевая активность:

Подключается к:

'fe####health.net':80
'fe####separate.net':80
'fe####clothes.net':80
'br####separate.net':80
'fe####distant.net':80
'do####clothes.net':80
'pr####health.net':80
'pr####clothes.net':80
'pr####distant.net':80
'do####distant.net':80
're####distant.net':80
'br####distant.net':80
'pr####eseparate.net':80
'pr####ehealth.net':80
'de####separate.net':80
'br####health.net':80
're####separate.net':80
're####health.net':80
're####clothes.net':80
'br####clothes.net':80
'ev####gclothes.net':80
'bu####ngclothes.net':80
'bu####ngdistant.net':80
'st####eparate.net':80
'ev####gdistant.net':80
'bu#####gseparate.net':80
'ou####edistant.net':80
'ev####gseparate.net':80
'ev####ghealth.net':80
'bu####nghealth.net':80
'mi####istant.net':80
'st####istant.net':80
'do####separate.net':80
'do####health.net':80
'pr####separate.net':80
'st###health.net':80
'mi####eparate.net':80
'mi###health.net':80
'mi####lothes.net':80
'st####lothes.net':80

TCP:

Запросы HTTP GET:

fe####health.net/index.php?em#######################################################
fe####separate.net/index.php?em#######################################################
fe####clothes.net/index.php?em#######################################################
br####separate.net/index.php?em#######################################################
fe####distant.net/index.php?em#######################################################
do####clothes.net/index.php?em#######################################################
pr####health.net/index.php?em#######################################################
pr####clothes.net/index.php?em#######################################################
pr####distant.net/index.php?em#######################################################
do####distant.net/index.php?em#######################################################
re####distant.net/index.php?em#######################################################
br####distant.net/index.php?em#######################################################
pr####eseparate.net/index.php?em#######################################################
pr####ehealth.net/index.php?em#######################################################
de####separate.net/index.php?em#######################################################
br####health.net/index.php?em#######################################################
re####separate.net/index.php?em#######################################################
re####health.net/index.php?em#######################################################
re####clothes.net/index.php?em#######################################################
br####clothes.net/index.php?em#######################################################
ev####gclothes.net/index.php?em#######################################################
bu####ngclothes.net/index.php?em#######################################################
bu####ngdistant.net/index.php?em#######################################################
st####eparate.net/index.php?em#######################################################
ev####gdistant.net/index.php?em#######################################################
bu#####gseparate.net/index.php?em#######################################################
ou####edistant.net/index.php?em#######################################################
ev####gseparate.net/index.php?em#######################################################
ev####ghealth.net/index.php?em#######################################################
bu####nghealth.net/index.php?em#######################################################
mi####istant.net/index.php?em#######################################################
st####istant.net/index.php?em#######################################################
do####separate.net/index.php?em#######################################################
do####health.net/index.php?em#######################################################
pr####separate.net/index.php?em#######################################################
st###health.net/index.php?em#######################################################
mi####eparate.net/index.php?em#######################################################
mi###health.net/index.php?em#######################################################
mi####lothes.net/index.php?em#######################################################
st####lothes.net/index.php?em#######################################################