Trojan.DownLoader12.29370

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Office WMI Configuration' = '%APPDATA%\mfkvdyvkyktkz\hapilpwvnhmw.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\mfkvdyvkyktkz\mvkvtssjhu.exe' "%APPDATA%\mfkvdyvkyktkz\hapilpwvnhmw.exe"
'%APPDATA%\mfkvdyvkyktkz\hapilpwvnhmw.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\mfkvdyvkyktkz\hapilpwvnhmw.vbnt
%APPDATA%\mfkvdyvkyktkz\mvkvtssjhu.exe
%APPDATA%\mfkvdyvkyktkz\hapilpwvnhmw.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\mfkvdyvkyktkz\hapilpwvnhmw.exe

Сетевая активность:

Подключается к:

'st####roduce.net':80
'mi####etween.net':80
'mi####roduce.net':80
'mi####tudent.net':80
'st####tudent.net':80
'ev####gstudent.net':80
'bu####ngstudent.net':80
'st####ucceed.net':80
'st####etween.net':80
'mi####ucceed.net':80
'do####student.net':80
'pr####produce.net':80
'pr####student.net':80
'fe####between.net':80
'fe####succeed.net':80
'pr####succeed.net':80
'do####succeed.net':80
'do####between.net':80
'do####produce.net':80
'pr####between.net':80
'mo####ntsucceed.net':80
'st###share.net':80
'ou####esucceed.net':80
'ou####ebetween.net':80
'mo####ntbetween.net':80
'st###happen.net':80
'st####thhappen.net':80
'st####thshake.net':80
'st####thshare.net':80
'st###shake.net':80
'bu####ngbetween.net':80
'ev####gsucceed.net':80
'ev####gbetween.net':80
'ev####gproduce.net':80
'bu####ngproduce.net':80
'ou####eproduce.net':80
'mo####ntproduce.net':80
'mo####ntstudent.net':80
'bu####ngsucceed.net':80
'ou####estudent.net':80

TCP:

Запросы HTTP GET:

st####roduce.net/index.php?em####################################################
mi####etween.net/index.php?em####################################################
mi####roduce.net/index.php?em####################################################
mi####tudent.net/index.php?em####################################################
st####tudent.net/index.php?em####################################################
ev####gstudent.net/index.php?em####################################################
bu####ngstudent.net/index.php?em####################################################
st####ucceed.net/index.php?em####################################################
st####etween.net/index.php?em####################################################
mi####ucceed.net/index.php?em####################################################
do####student.net/index.php?em####################################################
pr####produce.net/index.php?em####################################################
pr####student.net/index.php?em####################################################
fe####between.net/index.php?em####################################################
fe####succeed.net/index.php?em####################################################
pr####succeed.net/index.php?em####################################################
do####succeed.net/index.php?em####################################################
do####between.net/index.php?em####################################################
do####produce.net/index.php?em####################################################
pr####between.net/index.php?em####################################################
mo####ntsucceed.net/index.php?em####################################################
st###share.net/index.php?em####################################################
ou####esucceed.net/index.php?em####################################################
ou####ebetween.net/index.php?em####################################################
mo####ntbetween.net/index.php?em####################################################
st###happen.net/index.php?em####################################################
st####thhappen.net/index.php?em####################################################
st####thshake.net/index.php?em####################################################
st####thshare.net/index.php?em####################################################
st###shake.net/index.php?em####################################################
bu####ngbetween.net/index.php?em####################################################
ev####gsucceed.net/index.php?em####################################################
ev####gbetween.net/index.php?em####################################################
ev####gproduce.net/index.php?em####################################################
bu####ngproduce.net/index.php?em####################################################
ou####eproduce.net/index.php?em####################################################
mo####ntproduce.net/index.php?em####################################################
mo####ntstudent.net/index.php?em####################################################
bu####ngsucceed.net/index.php?em####################################################
ou####estudent.net/index.php?em####################################################