Trojan.DownLoader12.25150

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,C:\ProgramData\sIAowgok\rSYkcwMw.exe,'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rSYkcwMw.exe' = 'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GocwIYEU.exe' = '%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\yoYkgMRX] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'C:\ProgramData\ZQIIosos\XiskIEYE.exe'
'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
'%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cscript.exe' <LS_APPDATA>\Temp/file.vbs
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\AGcY.ico
<Текущая директория>\gAci.exe
<Текущая директория>\WEgg.exe
C:\RCXF4D5.tmp
C:\RCXF8AD.tmp
C:\RCXFB8B.tmp
<Текущая директория>\bawA.ico
<Текущая директория>\UGYE.ico
<Текущая директория>\MEcY.exe
<Текущая директория>\kYMM.ico
<Текущая директория>\Bgok.exe
<Текущая директория>\FcoW.exe
C:\RCXEC3B.tmp
C:\RCXEF57.tmp
C:\RCXF12C.tmp
<Текущая директория>\zOQE.ico
<Текущая директория>\iiIw.ico
<Текущая директория>\csAw.exe
<Текущая директория>\hcEc.exe
<Текущая директория>\ykgm.exe
C:\RCXF6E.tmp
C:\RCXE16.tmp
<Текущая директория>\wmIU.ico
<Текущая директория>\xUkk.ico
<Текущая директория>\PUkM.ico
<Текущая директория>\CEUO.exe
<Текущая директория>\ZswE.exe
C:\RCX12E8.tmp
<Текущая директория>\KoYi.exe
C:\RCX5F9.tmp
C:\RCX7C.tmp
<Текущая директория>\gaMs.ico
<Текущая директория>\ggQc.ico
<Текущая директория>\daYA.ico
<Текущая директория>\LoYe.exe
<Текущая директория>\BcoK.exe
C:\RCX8D7.tmp
C:\RCXD20D.tmp
<Текущая директория>\rwwA.ico
<Текущая директория>\bMIM.ico
<Текущая директория>\mAIw.exe
<Текущая директория>\ZcQu.exe
<Текущая директория>\GwMw.exe
C:\RCXD74D.tmp
C:\RCXD4EC.tmp
<Текущая директория>\OUQE.ico
C:\ProgramData\ZQIIosos\XiskIEYE.exe
<SYSTEM32>\config\systemprofile\CaIocokM\GocwIYEU
%HOMEPATH%\CaIocokM\GocwIYEU
C:\ProgramData\sIAowgok\rSYkcwMw
%TEMP%\SsAUwkoI.bat
%TEMP%\file.vbs
C:\ProgramData\kaog.txt
<Текущая директория>\<Имя вируса>
%TEMP%\zAoogMss.bat
<Текущая директория>\NOwU.ico
<Текущая директория>\zKII.ico
<Текущая директория>\WMAK.exe
<Текущая директория>\aEQc.exe
C:\RCXE507.tmp
C:\RCXE73A.tmp
C:\RCXE873.tmp
<Текущая директория>\wIoU.ico
<Текущая директория>\eesE.ico
<Текущая директория>\dcME.exe
<Текущая директория>\tAkk.ico
<Текущая директория>\FkYy.exe
<Текущая директория>\DIcI.exe
C:\RCXD8B5.tmp
C:\RCXDCBB.tmp
C:\RCXE0B2.tmp
<Текущая директория>\giwo.ico
<Текущая директория>\PkkA.ico
<Текущая директория>\Gscy.exe

Удаляет следующие файлы:

<Текущая директория>\gAci.exe
<Текущая директория>\AGcY.ico
<Текущая директория>\UGYE.ico
<Текущая директория>\bawA.ico
<Текущая директория>\MEcY.exe
<Текущая директория>\iiIw.ico
<Текущая директория>\Bgok.exe
<Текущая директория>\csAw.exe
<Текущая директория>\WEgg.exe
<Текущая директория>\zOQE.ico
<Текущая директория>\hcEc.exe
<Текущая директория>\wmIU.ico
<Текущая директория>\LoYe.exe
<Текущая директория>\ykgm.exe
<Текущая директория>\ZswE.exe
<Текущая директория>\xUkk.ico
<Текущая директория>\KoYi.exe
<Текущая директория>\gaMs.ico
<Текущая директория>\ggQc.ico
<Текущая директория>\daYA.ico
<Текущая директория>\BcoK.exe
<Текущая директория>\kYMM.ico
<Текущая директория>\GwMw.exe
<Текущая директория>\OUQE.ico
<Текущая директория>\NOwU.ico
<Текущая директория>\tAkk.ico
<Текущая директория>\DIcI.exe
<Текущая директория>\bMIM.ico
%TEMP%\SsAUwkoI.bat
<Текущая директория>\mAIw.exe
<Текущая директория>\ZcQu.exe
<Текущая директория>\rwwA.ico
<Текущая директория>\FkYy.exe
<Текущая директория>\eesE.ico
<Текущая директория>\WMAK.exe
<Текущая директория>\dcME.exe
<Текущая директория>\FcoW.exe
<Текущая директория>\wIoU.ico
<Текущая директория>\Gscy.exe
<Текущая директория>\PkkA.ico
<Текущая директория>\giwo.ico
<Текущая директория>\zKII.ico
<Текущая директория>\aEQc.exe

Перемещает следующие файлы:

C:\RCXFB8B.tmp в <Текущая директория>\MEcY.exe
C:\RCX7C.tmp в <Текущая директория>\hcEc.exe
C:\RCXF8AD.tmp в <Текущая директория>\gAci.exe
C:\RCXF12C.tmp в <Текущая директория>\csAw.exe
C:\RCXF4D5.tmp в <Текущая директория>\WEgg.exe
C:\RCXF6E.tmp в <Текущая директория>\ykgm.exe
C:\RCX12E8.tmp в <Текущая директория>\ZswE.exe
C:\RCXE16.tmp в <Текущая директория>\LoYe.exe
C:\RCX5F9.tmp в <Текущая директория>\KoYi.exe
C:\RCX8D7.tmp в <Текущая директория>\BcoK.exe
C:\RCXEF57.tmp в <Текущая директория>\Bgok.exe
C:\RCXD8B5.tmp в <Текущая директория>\DIcI.exe
C:\RCXDCBB.tmp в <Текущая директория>\FkYy.exe
C:\RCXD74D.tmp в <Текущая директория>\GwMw.exe
C:\RCXD20D.tmp в <Текущая директория>\mAIw.exe
C:\RCXD4EC.tmp в <Текущая директория>\ZcQu.exe
C:\RCXE873.tmp в <Текущая директория>\dcME.exe
C:\RCXEC3B.tmp в <Текущая директория>\FcoW.exe
C:\RCXE73A.tmp в <Текущая директория>\WMAK.exe
C:\RCXE0B2.tmp в <Текущая директория>\Gscy.exe
C:\RCXE507.tmp в <Текущая директория>\aEQc.exe

Самоудаляется.

Сетевая активность:

UDP:

DNS ASK google.com
DNS ASK dn#.##ftncsi.com
DNS ASK bl##k.io

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'GocwIYEU.exe'
ClassName: '' WindowName: 'rSYkcwMw.exe'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней