Trojan.DownLoader12.6962

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AdobeFlashPlayer' = 'wscript "%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.vbs" "%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.bat"'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\setup-retail.exe'
'%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlp.exe'
'%APPDATA%\windows8manager.exe'
'%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%HOMEPATH%\Local Settings\Temp -p~@S23js@@vBz99432@t9 "" ""

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.bat" "
'<SYSTEM32>\reg.exe' add HKCU\software\microsoft\windows\currentversion\run /v AdobeFlashPlayer /d "wscript \"%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.vbs\" \"%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.bat\"" /f
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding DBC0F4BA5385295F81C424A06EF1D017 C
'<SYSTEM32>\wscript.exe' "%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.vbs" "%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.bat"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\AI_EXTUI_BIN_2968\custicon
%TEMP%\AI_EXTUI_BIN_2968\readmelogoicon
%TEMP%\AI_EXTUI_BIN_2968\info
%TEMP%\AI_EXTUI_BIN_2968\applogoicon
%TEMP%\AI_EXTUI_BIN_2968\repairic
%TEMP%\AI_EXTUI_BIN_2968\insticon
%TEMP%\AI_EXTUI_BIN_2968\folderlogoicon
%TEMP%\AI_EXTUI_BIN_2968\removico
%TEMP%\AI_EXTUI_BIN_2968\printico
%TEMP%\AI_EXTUI_BIN_2968\waitlogoicon
%TEMP%\AI_EXTUI_BIN_2968\background
%TEMP%\AI_EXTUI_BIN_2968\completi
%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.vbs
%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlpcache.bat
%APPDATA%\Adobe\Flash Player\StreamCache\libcurl.dll
%APPDATA%\Adobe\Flash Player\StreamCache\zlib1.dll
%APPDATA%\Adobe\Flash Player\StreamCache\pthreadGC2.dll
%APPDATA%\Adobe\Flash Player\StreamCache\IDMGrHlp.exe
%TEMP%\AI_EXTUI_BIN_2968\lzmaextractor.dll
%TEMP%\AI_EXTUI_BIN_2968\aicustact.dll
%TEMP%\AI_EXTUI_BIN_2968\cmdlinkarrow
%TEMP%\MSI2ebdd.LOG
%APPDATA%\Yamicsoft\Windows 8 Manager 2.0.4\install\disk1.cab
%APPDATA%\Yamicsoft\Windows 8 Manager 2.0.4\install\Windows8ManagerSetup.x64.msi
%TEMP%\setup-retail.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\25192C4012D0DED321316F7256595215
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\25192C4012D0DED321316F7256595215
%APPDATA%\Yamicsoft\Windows 8 Manager 2.0.4\install\Windows8ManagerSetup.msi
%TEMP%\7za.exe
%TEMP%\nsy2.tmp
%TEMP%\a1.7z
%TEMP%\nsz3.tmp\ExecDos.dll
%APPDATA%\windows8manager.exe
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\B211EE32EFC211EC156AA9A7C6D639A8
%TEMP%\AI_EXTUI_BIN_2968\New
%TEMP%\AI_EXTUI_BIN_2968\whitebackground
%TEMP%\AI_EXTUI_BIN_2968\optionslogoicon
%TEMP%\AI_EXTUI_BIN_2968\exitbackground
%TEMP%\AI_EXTUI_BIN_2968\exclamic
%TEMP%\AI_EXTUI_BIN_2968\installlogoicon
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8B7F174CBA91D50A75A211BB82B8C491
%APPDATA%\Microsoft\CryptnetUrlCache\Content\B211EE32EFC211EC156AA9A7C6D639A8
%APPDATA%\Microsoft\CryptnetUrlCache\Content\8B7F174CBA91D50A75A211BB82B8C491
%TEMP%\AI_EXTUI_BIN_2968\Up
%TEMP%\MSI4.tmp