Trojan.DownLoader12.5965

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AcIcUcAM.exe' = '%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'jaQEcQMQ.exe' = '%HOMEPATH%\NIMMEwsg\jaQEcQMQ.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM.exe'
'%HOMEPATH%\NIMMEwsg\jaQEcQMQ.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\doMYoMIM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\TecoQIkU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\EEYkYoQU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\sYIwgYYM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\QSYEQUAE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\rWMMsEYc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\keIssQII.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\FIcwEIgI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\LQUMMAog.bat" "<Полный путь к вирусу>""

Изменения в файловой системе:

Создает следующие файлы:

C:\RCX11.tmp
%TEMP%\KikQUckk.bat
<Текущая директория>\NgEM.ico
%TEMP%\doMYoMIM.bat
<Текущая директория>\kSUU.ico
<Текущая директория>\mEQs.exe
<Текущая директория>\fAgU.exe
C:\RCX13.tmp
<Текущая директория>\tCQQ.ico
<Текущая директория>\aEAq.exe
C:\RCX12.tmp
<Текущая директория>\ViEY.ico
<Текущая директория>\ccAa.exe
C:\RCXD.tmp
<Текущая директория>\tEoA.ico
<Текущая директория>\iIYm.exe
%TEMP%\fQgAsksM.bat
<Текущая директория>\PGQw.ico
<Текущая директория>\KcgW.exe
C:\RCXE.tmp
<Текущая директория>\RskY.ico
<Текущая директория>\ZkAO.exe
C:\RCX10.tmp
<Текущая директория>\VOIs.ico
<Текущая директория>\LwsQ.exe
C:\RCXF.tmp
C:\RCX18.tmp
%TEMP%\TAcIkAcI.bat
<Текущая директория>\xEss.ico
C:\RCX17.tmp
<Текущая директория>\AoIU.ico
<Текущая директория>\woMO.exe
<Текущая директория>\SkQy.exe
<Текущая директория>\aKwc.ico
<Текущая директория>\sEMs.exe
%TEMP%\sYIwgYYM.bat
C:\RCX19.tmp
<Текущая директория>\bWoY.ico
<Текущая директория>\rgYY.exe
C:\RCX15.tmp
%TEMP%\fGkMUggQ.bat
<Текущая директория>\vmYA.ico
C:\RCX14.tmp
<Текущая директория>\USMU.ico
<Текущая директория>\YUIS.exe
<Текущая директория>\XsYQ.exe
%TEMP%\nqsUIYkI.bat
<Текущая директория>\ZOwo.ico
<Текущая директория>\AAMA.exe
C:\RCX16.tmp
%TEMP%\rWMMsEYc.bat
%TEMP%\QSYEQUAE.bat
C:\RCX2.tmp
<Текущая директория>\iuEY.ico
<Текущая директория>\GQYc.exe
%TEMP%\LaooYIkU.bat
<Текущая директория>\RCwI.ico
<Текущая директория>\fQci.exe
%TEMP%\keIssQII.bat
<Текущая директория>\BUcm.exe
C:\RCX4.tmp
%TEMP%\EEYkYoQU.bat
C:\RCX3.tmp
%TEMP%\OEowgoYQ.bat
<Текущая директория>\UKIs.ico
<Текущая директория>\<Имя вируса>
%ALLUSERSPROFILE%\casg.txt
%TEMP%\vIYAcYEc.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%TEMP%\CUYwgAQM.bat
<Текущая директория>\JAIg.ico
<Текущая директория>\MEYc.exe
C:\RCX1.tmp
%TEMP%\FIcwEIgI.bat
%TEMP%\LQUMMAog.bat
%TEMP%\MaocwMoM.bat
%TEMP%\file.vbs
<Текущая директория>\kuEM.ico
<Текущая директория>\AoQK.exe
C:\RCXA.tmp
<Текущая директория>\DkAM.exe
C:\RCX9.tmp
%TEMP%\PCogIoIc.bat
<Текущая директория>\AsMk.ico
<Текущая директория>\bGYw.ico
<Текущая директория>\oQEK.exe
C:\RCXC.tmp
<Текущая директория>\iUQG.exe
C:\RCXB.tmp
%TEMP%\TecoQIkU.bat
<Текущая директория>\VOYw.ico
<Текущая директория>\zYQw.exe
C:\RCX6.tmp
<Текущая директория>\fysk.ico
<Текущая директория>\xkUM.exe
C:\RCX5.tmp
<Текущая директория>\VeoY.ico
<Текущая директория>\vkUu.exe
C:\RCX8.tmp
<Текущая директория>\hkUU.ico
<Текущая директория>\iggw.exe
C:\RCX7.tmp
<Текущая директория>\XqYo.ico

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM.exe
%HOMEPATH%\NIMMEwsg\jaQEcQMQ.exe

Удаляет следующие файлы:

<Текущая директория>\fAgU.exe
<Текущая директория>\kSUU.ico
<Текущая директория>\mEQs.exe
<Текущая директория>\NgEM.ico
%TEMP%\KikQUckk.bat
<Текущая директория>\ViEY.ico
<Текущая директория>\ccAa.exe
<Текущая директория>\RskY.ico
<Текущая директория>\iIYm.exe
%TEMP%\fQgAsksM.bat
<Текущая директория>\PGQw.ico
<Текущая директория>\tEoA.ico
<Текущая директория>\ZkAO.exe
<Текущая директория>\VOIs.ico
<Текущая директория>\LwsQ.exe
<Текущая директория>\woMO.exe
<Текущая директория>\ZOwo.ico
<Текущая директория>\AAMA.exe
<Текущая директория>\AoIU.ico
<Текущая директория>\bWoY.ico
<Текущая директория>\xEss.ico
<Текущая директория>\SkQy.exe
%TEMP%\nqsUIYkI.bat
%TEMP%\fGkMUggQ.bat
<Текущая директория>\tCQQ.ico
<Текущая директория>\aEAq.exe
<Текущая директория>\YUIS.exe
<Текущая директория>\vmYA.ico
<Текущая директория>\XsYQ.exe
<Текущая директория>\USMU.ico
<Текущая директория>\KcgW.exe
%TEMP%\OEowgoYQ.bat
<Текущая директория>\iuEY.ico
<Текущая директория>\GQYc.exe
<Текущая директория>\BUcm.exe
<Текущая директория>\fysk.ico
<Текущая директория>\xkUM.exe
<Текущая директория>\UKIs.ico
<Текущая директория>\RCwI.ico
%TEMP%\MaocwMoM.bat
%TEMP%\vIYAcYEc.bat
%TEMP%\CUYwgAQM.bat
<Текущая директория>\MEYc.exe
<Текущая директория>\fQci.exe
%TEMP%\LaooYIkU.bat
<Текущая директория>\JAIg.ico
<Текущая директория>\kuEM.ico
<Текущая директория>\AoQK.exe
%TEMP%\PCogIoIc.bat
<Текущая директория>\iUQG.exe
<Текущая директория>\bGYw.ico
<Текущая директория>\oQEK.exe
<Текущая директория>\AsMk.ico
<Текущая директория>\hkUU.ico
<Текущая директория>\iggw.exe
<Текущая директория>\VOYw.ico
<Текущая директория>\zYQw.exe
<Текущая директория>\VeoY.ico
<Текущая директория>\DkAM.exe
<Текущая директория>\XqYo.ico
<Текущая директория>\vkUu.exe

Перемещает следующие файлы:

C:\RCX11.tmp в <Текущая директория>\mEQs.exe
C:\RCX12.tmp в <Текущая директория>\fAgU.exe
C:\RCX13.tmp в <Текущая директория>\ccAa.exe
C:\RCXE.tmp в <Текущая директория>\iIYm.exe
C:\RCXF.tmp в <Текущая директория>\LwsQ.exe
C:\RCX10.tmp в <Текущая директория>\ZkAO.exe
C:\RCX17.tmp в <Текущая директория>\AAMA.exe
C:\RCX18.tmp в <Текущая директория>\woMO.exe
C:\RCX19.tmp в <Текущая директория>\SkQy.exe
C:\RCX14.tmp в <Текущая директория>\aEAq.exe
C:\RCX15.tmp в <Текущая директория>\YUIS.exe
C:\RCX16.tmp в <Текущая директория>\XsYQ.exe
C:\RCXD.tmp в <Текущая директория>\KcgW.exe
C:\RCX4.tmp в <Текущая директория>\BUcm.exe
C:\RCX5.tmp в <Текущая директория>\xkUM.exe
C:\RCX6.tmp в <Текущая директория>\zYQw.exe
C:\RCX1.tmp в <Текущая директория>\MEYc.exe
C:\RCX2.tmp в <Текущая директория>\fQci.exe
C:\RCX3.tmp в <Текущая директория>\GQYc.exe
C:\RCXA.tmp в <Текущая директория>\AoQK.exe
C:\RCXB.tmp в <Текущая директория>\iUQG.exe
C:\RCXC.tmp в <Текущая директория>\oQEK.exe
C:\RCX7.tmp в <Текущая директория>\iggw.exe
C:\RCX8.tmp в <Текущая директория>\vkUu.exe
C:\RCX9.tmp в <Текущая директория>\DkAM.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'74.##5.232.51':80

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'jaQEcQMQ.exe'
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'AcIcUcAM.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней