Trojan.DownLoader12.15793

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '5d5e3c1b562e3a75dc95740a35744ad0' = '"%HOMEPATH%\svchost.exe" ..'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '5d5e3c1b562e3a75dc95740a35744ad0' = '"%HOMEPATH%\svchost.exe" ..'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\5d5e3c1b562e3a75dc95740a35744ad0.exe

Создает следующие файлы на съемном носителе:

<Имя диска съемного носителя>:\5d5e3c1b562e3a75dc95740a35744ad0.exe

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%HOMEPATH%\svchost.exe' = '%HOMEPATH%\svchost.exe:*:Enabled:svchost.exe'

Создает и запускает на исполнение:

'%HOMEPATH%\svchost.exe'
'%TEMP%\Updates.exe'
'%TEMP%\Coin Generator.exe'

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%HOMEPATH%\svchost.exe" "svchost.exe" ENABLE

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Cab7.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
<LS_APPDATA>\Adobe\AIH.3fe551fbc696f87e1e5d86cc951f8e04afe43e35\downloader.dll
%TEMP%\CabD.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\aut2.tmp
%TEMP%\Updates.exe
%TEMP%\aut1.tmp
%TEMP%\Coin Generator.exe
%HOMEPATH%\svchost.exe
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004

Присваивает атрибут 'скрытый' для следующих файлов:

<Имя диска съемного носителя>:\5d5e3c1b562e3a75dc95740a35744ad0.exe

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-right[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-right[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-left[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\button-left[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-right[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-left[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-left[3].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-left[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\button-right[2].png
%TEMP%\CabB.tmp
%TEMP%\Cab9.tmp
%TEMP%\CabF.tmp
%TEMP%\CabD.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\button-right[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\button-right[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\button-left[2].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\button-left[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\icon-blank[1].gif
%TEMP%\Cab7.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\icon-complete-error[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\icon-complete[1].gif
%TEMP%\aut2.tmp
%TEMP%\aut1.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab3.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bg-close-program[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bg-download-bar-empty[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bg-header-error[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\button-center[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\bg-download-bar-full[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mainwindow[1].css
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\logo-adobe[1].gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mainwindow[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\compact.min[1].js

Перемещает следующие файлы:

%TEMP%\Updates.exe в %TEMP%\Updates_1.exe

Сетевая активность:

Подключается к:

'localhost':1045
'localhost':1044
'pi####y.ddns.net':6969
'wp#d':80
'www.download.windowsupdate.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
wp#d/wpad.dat

UDP: