Trojan.DownLoader12.12837

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\xslfile\shell\Open\command] '' = ''
[<HKLM>\SOFTWARE\Classes\xmlfile\shell\Open\command] '' = ''

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe' = '<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe:*:Enabled:TNT2'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe' = '<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe:*:Enabled:TNT2'

Создает и запускает на исполнение:

'<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe' /INSTALL PARTNER=e

Запускает на исполнение:

'<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1923\passport.dll" "%PROGRAM_FILES%\TNT2\Profiles\e"
'<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1923\passport64.dll" "%PROGRAM_FILES%\TNT2\Profiles\e"
'<SYSTEM32>\taskkill.exe' /F /IM "CltMngSvc.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "cltmng.exe"
'<SYSTEM32>\rundll32.exe' "<LS_APPDATA>\TNT2\2.0.0.1923\regsvr.1.dll",IEInstall {E5C4E72A-FAE5-4B26-AE08-F97D8F33B824}
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1923\GameConsole.exe" "<LS_APPDATA>\TNT2\Common\"
'<SYSTEM32>\regsvr32.exe' /s "%PROGRAM_FILES%\TNT2\TNT2UserPS.dll"
'<SYSTEM32>\sc.exe' delete CltMngSvc
'<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1923\ietoolbar*.dll" "%PROGRAM_FILES%\TNT2\2.0.0.1923\"
'<SYSTEM32>\sc.exe' delete DatamngrCoordinator
'<SYSTEM32>\netsh.exe' firewall add allowedprogram mode=ENABLE profile=ALL name=TNT2 program="<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe"
'<SYSTEM32>\xcopy.exe' /Y "<LS_APPDATA>\TNT2\2.0.0.1923\TNT2UserPS*.dll" "%PROGRAM_FILES%\TNT2\"
'<SYSTEM32>\sc.exe' delete "Updater By Sweetpacks"
'<SYSTEM32>\taskkill.exe' /F /IM "ExtensionUpdaterService.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "DatamngrCoordinator.exe"
'<SYSTEM32>\taskkill.exe' /F /IM "DatamngrUI.exe"

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\TNT2\2.0.0.1923\xpi.tar
<LS_APPDATA>\TNT2\2.0.0.1923\zipunzip.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\untar.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\UPDATE.TNT
<LS_APPDATA>\TNT2\2.0.0.1923\GameConsole.exe
<LS_APPDATA>\TNT2\2.0.0.1923\GameEngine.dll
<LS_APPDATA>\TNT2\2.0.0.1923\UnInjLib.dll
<LS_APPDATA>\TNT2\2.0.0.1923\UnInjLib64.dll
<LS_APPDATA>\TNT2\2.0.0.1923\TNT2User.exe
<LS_APPDATA>\TNT2\2.0.0.1923\TNT2UserPS.dll
<LS_APPDATA>\TNT2\2.0.0.1923\RemoteSkin.wms
<LS_APPDATA>\TNT2\2.0.0.1923\sqlite.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\UNINSTALL.TNT
<LS_APPDATA>\TNT2\2.0.0.1923\UninstallDlg.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\TNT2UserPS64.dll
<LS_APPDATA>\TNT2\2.0.0.1923\TntMagicDel.dll
<LS_APPDATA>\TNT2\2.0.0.1923\MinecraftShims64.dll
%PROGRAM_FILES%\TNT2\Profiles\e\passport.dll
<LS_APPDATA>\TNT2\Common\GameConsole.exe
%PROGRAM_FILES%\TNT2\TNT2UserPS.dll
%PROGRAM_FILES%\TNT2\TNT2UserPS64.dll
<LS_APPDATA>\TNT2\Profiles\e\yahe.xml
<LS_APPDATA>\TNT2\Profiles\e\partner.dat
%PROGRAM_FILES%\TNT2\Profiles\e\passport64.dll
<LS_APPDATA>\TNT2\Profiles\e\ose.xml
<LS_APPDATA>\TNT2\Profiles\e\inst.ini
<LS_APPDATA>\TNT2\Profiles\e\runt.ini
<LS_APPDATA>\TNT2\2.0.0.1923\GameApps.ini
<LS_APPDATA>\TNT2\2.0.0.1923\LastSession.log
%PROGRAM_FILES%\TNT2\2.0.0.1923\IEToolbar.dll
%PROGRAM_FILES%\TNT2\2.0.0.1923\IEToolbar64.dll
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\8193ab892c6ae64e89be24a4e941c49b_23ef5514-3059-436f-a4a7-4cefaab20eb1
<LS_APPDATA>\TNT2\2.0.0.1923\regsvr.1.dll
%TEMP%\RGIB.tmp
%TEMP%\RGIC.tmp
%TEMP%\RGI9.tmp
%TEMP%\RGIA.tmp
%TEMP%\RGIF.tmp
%TEMP%\RGI10.tmp
%TEMP%\RGID.tmp
%TEMP%\RGIE.tmp
%TEMP%\RGI3.tmp
%TEMP%\RGI4.tmp
%TEMP%\RGI1.tmp
%TEMP%\RGI2.tmp
%TEMP%\RGI7.tmp
%TEMP%\RGI8.tmp
%TEMP%\RGI5.tmp
%TEMP%\RGI6.tmp
<LS_APPDATA>\TNT2\2.0.0.1923\Autorun.inf
<LS_APPDATA>\TNT2\2.0.0.1923\passport.dll
<LS_APPDATA>\TNT2\2.0.0.1923\passport64.dll
<LS_APPDATA>\TNT2\2.0.0.1923\npTNT2.dll
<LS_APPDATA>\TNT2\2.0.0.1923\PARTNER.TNT
<LS_APPDATA>\TNT2\2.0.0.1923\pinnedSearch_Freshy.htm
<LS_APPDATA>\TNT2\2.0.0.1923\progress.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\pinnedSearch.htm
<LS_APPDATA>\TNT2\2.0.0.1923\pinnedSearch_FindWide.htm
<LS_APPDATA>\TNT2\2.0.0.1923\hmac.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\iestage2.1.dll
<LS_APPDATA>\TNT2\2.0.0.1923\crx.tar
<LS_APPDATA>\TNT2\2.0.0.1923\GLOBALUNINSTALL.TNT
<LS_APPDATA>\TNT2\2.0.0.1923\INSTALL.TNT
<LS_APPDATA>\TNT2\2.0.0.1923\log.dll
<LS_APPDATA>\TNT2\2.0.0.1923\IEToolbar.dll
<LS_APPDATA>\TNT2\2.0.0.1923\IEToolbar64.dll

Удаляет следующие файлы:

%TEMP%\RGIC.tmp
%TEMP%\RGID.tmp
%TEMP%\RGIA.tmp
%TEMP%\RGIB.tmp
%TEMP%\RGIE.tmp
<SYSTEM32>\wbem\Performance\WmiApRpl.ini
<SYSTEM32>\PerfStringBackup.TMP
%TEMP%\RGIF.tmp
%TEMP%\RGI10.tmp
%TEMP%\RGI3.tmp
%TEMP%\RGI4.tmp
%TEMP%\RGI1.tmp
%TEMP%\RGI2.tmp
%TEMP%\RGI5.tmp
%TEMP%\RGI8.tmp
%TEMP%\RGI9.tmp
%TEMP%\RGI6.tmp
%TEMP%\RGI7.tmp

Сетевая активность:

Подключается к:

'se####es.freshy.com':80
'localhost':1039

TCP:

Запросы HTTP GET:

se####es.freshy.com/general/ping.php?ac############################################################################################################################################################################################################################
se####es.freshy.com/general/configuration.php?to##########
se####es.freshy.com/general/ping.php?ac######################################################################################
se####es.freshy.com/general/ping.php?ac#######################################################################################################################################################################
se####es.freshy.com/general/latest_install.php?to##########
se####es.freshy.com/general/ping.php?ac############################################
se####es.freshy.com/general/ping.php?&o########################################
se####es.freshy.com/general/latest_revision.php?to##########

UDP: