Trojan.DownLoader12.24810

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Panel Endpoint Helper Backup COM' = '%APPDATA%\zhtolyglsroip\xeribxnvfy.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\zhtolyglsroip\ijbyypk.exe' "%APPDATA%\zhtolyglsroip\xeribxnvfy.exe"
'%APPDATA%\zhtolyglsroip\xeribxnvfy.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\zhtolyglsroip\xeribxnvfy.ryzi3
%APPDATA%\zhtolyglsroip\ijbyypk.exe
%APPDATA%\zhtolyglsroip\xeribxnvfy.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\zhtolyglsroip\xeribxnvfy.exe

Сетевая активность:

Подключается к:

're#####lectricity.net':80
'br#####lectricity.net':80
'br####delight.net':80
'pr####eborrow.net':80
're####delight.net':80
'br####borrow.net':80
'fe####delight.net':80
're####borrow.net':80
're###ttrain.net':80
'br###ntrain.net':80
'de####borrow.net':80
'st####thborrow.net':80
'de####delight.net':80
'st####thtrain.net':80
'st####thdelight.net':80
'st#####helectricity.net':80
'de###etrain.net':80
'pr####etrain.net':80
'pr#####electricity.net':80
'pr####edelight.net':80
'de#####lectricity.net':80
'fe#####lectricity.net':80
'st#####ectricity.net':80
'mi###train.net':80
'mi#####ectricity.net':80
'mi####elight.net':80
'st####elight.net':80
'ev####gdelight.net':80
'bu####ngdelight.net':80
'st###borrow.net':80
'st###train.net':80
'mi###borrow.net':80
'do####borrow.net':80
'pr####delight.net':80
'do####delight.net':80
'fe####borrow.net':80
'do###etrain.net':80
'fe###wtrain.net':80
'do###rtrain.net':80
'pr####borrow.net':80
'pr###ytrain.net':80
'pr#####lectricity.net':80
'do#####lectricity.net':80

TCP:

Запросы HTTP GET:

re#####lectricity.net/index.php?em################################################
br#####lectricity.net/index.php?em################################################
br####delight.net/index.php?em################################################
pr####eborrow.net/index.php?em################################################
re####delight.net/index.php?em################################################
br####borrow.net/index.php?em################################################
fe####delight.net/index.php?em################################################
re####borrow.net/index.php?em################################################
re###ttrain.net/index.php?em################################################
br###ntrain.net/index.php?em################################################
de####borrow.net/index.php?em################################################
st####thborrow.net/index.php?em################################################
de####delight.net/index.php?em################################################
st####thtrain.net/index.php?em################################################
st####thdelight.net/index.php?em################################################
st#####helectricity.net/index.php?em################################################
de###etrain.net/index.php?em################################################
pr####etrain.net/index.php?em################################################
pr#####electricity.net/index.php?em################################################
pr####edelight.net/index.php?em################################################
de#####lectricity.net/index.php?em################################################
fe#####lectricity.net/index.php?em################################################
st#####ectricity.net/index.php?em################################################
mi###train.net/index.php?em################################################
mi#####ectricity.net/index.php?em################################################
mi####elight.net/index.php?em################################################
st####elight.net/index.php?em################################################
ev####gdelight.net/index.php?em################################################
bu####ngdelight.net/index.php?em################################################
st###borrow.net/index.php?em################################################
st###train.net/index.php?em################################################
mi###borrow.net/index.php?em################################################
do####borrow.net/index.php?em################################################
pr####delight.net/index.php?em################################################
do####delight.net/index.php?em################################################
fe####borrow.net/index.php?em################################################
do###etrain.net/index.php?em################################################
fe###wtrain.net/index.php?em################################################
do###rtrain.net/index.php?em################################################
pr####borrow.net/index.php?em################################################
pr###ytrain.net/index.php?em################################################
pr#####lectricity.net/index.php?em################################################
do#####lectricity.net/index.php?em################################################