Trojan.DownLoader12.2848

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Search Cryptographic UserMode' = '%APPDATA%\offdwlyavme\wvocqnebrm.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\offdwlyavme\vwpxekm.exe' "%APPDATA%\offdwlyavme\wvocqnebrm.exe"
'%APPDATA%\offdwlyavme\wvocqnebrm.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\offdwlyavme\wvocqnebrm.k75
%APPDATA%\offdwlyavme\vwpxekm.exe
%APPDATA%\offdwlyavme\wvocqnebrm.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\offdwlyavme\wvocqnebrm.exe

Сетевая активность:

Подключается к:

'en####hcentury.net':80
'ei####century.net':80
'ei####famous.net':80
'ei###rpower.net':80
'en####hfamous.net':80
'ch####enpower.net':80
'fa####famous.net':80
'fa###ypower.net':80
'fa####country.net':80
'ch####encountry.net':80
'en####hpower.net':80
'ex####letter.net':80
'be####ebeside.net':80
'be####eletter.net':80
'be#####different.net':80
'ex####different.net':80
'en####hcountry.net':80
'ei####country.net':80
'ex####surprise.net':80
'ex####beside.net':80
'be####esurprise.net':80
'ch####enfamous.net':80
'th####famous.net':80
'fi####famous.net':80
'fi###epower.net':80
'fi####country.net':80
'th###hpower.net':80
'wh####rcountry.net':80
'ri###power.net':80
'ri####ountry.net':80
'th####century.net':80
'fi####century.net':80
'th####country.net':80
'pi####ecountry.net':80
'ci####ttepower.net':80
'ci#####tecountry.net':80
'fa####century.net':80
'ch####encentury.net':80
'ci#####tecentury.net':80
'pi####ecentury.net':80
'pi####efamous.net':80
'pi####epower.net':80
'ci####ttefamous.net':80

TCP:

Запросы HTTP GET:

en####hcentury.net/index.php?em###############################################
ei####century.net/index.php?em###############################################
ei####famous.net/index.php?em###############################################
ei###rpower.net/index.php?em###############################################
en####hfamous.net/index.php?em###############################################
ch####enpower.net/index.php?em###############################################
fa####famous.net/index.php?em###############################################
fa###ypower.net/index.php?em###############################################
fa####country.net/index.php?em###############################################
ch####encountry.net/index.php?em###############################################
en####hpower.net/index.php?em###############################################
ex####letter.net/index.php?em###############################################
be####ebeside.net/index.php?em###############################################
be####eletter.net/index.php?em###############################################
be#####different.net/index.php?em###############################################
ex####different.net/index.php?em###############################################
en####hcountry.net/index.php?em###############################################
ei####country.net/index.php?em###############################################
ex####surprise.net/index.php?em###############################################
ex####beside.net/index.php?em###############################################
be####esurprise.net/index.php?em###############################################
ch####enfamous.net/index.php?em###############################################
th####famous.net/index.php?em###############################################
fi####famous.net/index.php?em###############################################
fi###epower.net/index.php?em###############################################
fi####country.net/index.php?em###############################################
th###hpower.net/index.php?em###############################################
wh####rcountry.net/index.php?em###############################################
ri###power.net/index.php?em###############################################
ri####ountry.net/index.php?em###############################################
th####century.net/index.php?em###############################################
fi####century.net/index.php?em###############################################
th####country.net/index.php?em###############################################
pi####ecountry.net/index.php?em###############################################
ci####ttepower.net/index.php?em###############################################
ci#####tecountry.net/index.php?em###############################################
fa####century.net/index.php?em###############################################
ch####encentury.net/index.php?em###############################################
ci#####tecentury.net/index.php?em###############################################
pi####ecentury.net/index.php?em###############################################
pi####efamous.net/index.php?em###############################################
pi####epower.net/index.php?em###############################################
ci####ttefamous.net/index.php?em###############################################