Trojan.DownLoader12.5152

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\FTdownloader V4.0-codedownloader.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-helper.exe' /externallog='%TEMP%\FTdownloader V4.0Installer_1421117704.log'
'%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-codedownloader.exe' /installapp /agentregpath='FTdownloader V4.0' /appid=35574 /srcid='000179' /subid='0' /zdata='0' /bic=A05036632DC74FB19BC8FECB3C840B3EIE /verifier=6f34c3a35e9c239ef8ff4b15378e98ee /installerversion=1_27_153 /installerfullversion=1.27.153.8 /installationtime=1421117704 /statsdomain=http://st###.#atasrvstats.com /errorsdomain=http://er####.datasrvstats.com /codedownloaddomain=http://cr.####all-daddy.com /allusers /externallog='%TEMP%\FTdownloader V4.0Installer_1421117704.log'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\FTdownloader V4.0\Uninstall.exe
%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-codedownloader.exe
%TEMP%\nsd3.tmp\temp_file_before.tmp
%TEMP%\nsd3.tmp\temp_file_after.tmp
%TEMP%\nsd3.tmp\ExecDos.dll
%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-buttonutil64.exe
%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-buttonutil.dll
%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-helper.exe
%PROGRAM_FILES%\FTdownloader V4.0\FTdownloader V4.0-buttonutil.exe
%PROGRAM_FILES%\FTdownloader V4.0\utils.exe
%TEMP%\nsd3.tmp\System.dll
%TEMP%\nsd3.tmp\nsislog.dll
%TEMP%\nsy2.tmp
%TEMP%\nsd3.tmp\StdUtils.dll
%TEMP%\FTdownloader V4.0Installer_1421117704.log
%TEMP%\nsd3.tmp\UserInfo.dll
%TEMP%\nsd3.tmp\InstallerUtils.dll
%TEMP%\nsd3.tmp\nsisos.dll
%TEMP%\nsd3.tmp\md5dll.dll

Удаляет следующие файлы:

<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini

Сетевая активность:

Подключается к:

'cr.####all-daddy.com':80
'er####.datasrvstats.com':80
'st###.#atasrvstats.com':80
'st###.myappsync.com':80

TCP:

Запросы HTTP GET:

er####.datasrvstats.com/ie-error.gif?ac#########################################################################################################################################################################################################################################################################################################
st###.#atasrvstats.com/stats.gif?ac###################################################################################################################################################################################################################################################################################################################################
er####.datasrvstats.com/ie-error.gif?ac############################################################################################################################################################################################################################################################################
st###.#atasrvstats.com/installer.gif?ac#############################################################################################################################################################################################################################################################################################
st###.myappsync.com/monetization.gif?ev#####################################################################################################################################################################################################################
cr.####all-daddy.com/plugin/apps/35574/manifest/1_27_153/ie6/manifest.xml?ve############

UDP: