Trojan.DownLoader12.31624

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\CZWeb\shell\open\command] '' = '"%PROGRAM_FILES%\CZWeb\CZWebAp.exe" "%1"'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\CZWeb\czwCheck.exe' = '%PROGRAM_FILES%\CZWeb\czwCheck.exe:*:Enabled:czwCheck'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\CZWeb\CZWeb.exe' = '%PROGRAM_FILES%\CZWeb\CZWeb.exe:*:Enabled:іЩФзНш'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\CZWeb\CZWebAp.exe' = '%PROGRAM_FILES%\CZWeb\CZWebAp.exe:*:Enabled:іЩФзНш App'

Создает и запускает на исполнение:

'%PROGRAM_FILES%\CZWeb\CZWebAp.exe'
'%TEMP%\is-TKN8P.tmp\<Имя вируса>_install.tmp' /SL5="$30092,1816406,136192,<Текущая директория>\<Имя вируса>_install.exe" /VERYSILENT
'<Текущая директория>\<Имя вируса>_install.exe' /VERYSILENT

Изменения в файловой системе:

Создает следующие файлы:

Удаляет следующие файлы:

%TEMP%\is-KBB6R.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-KBB6R.tmp\_isetup\_shfoldr.dll
%TEMP%\is-KBB6R.tmp\top_box.bmp
%TEMP%\is-KBB6R.tmp\top_box.jpg
%TEMP%\is-TKN8P.tmp\<Имя вируса>_install.tmp
<Текущая директория>\<Имя вируса>_install.exe
%PROGRAM_FILES%\CZWeb\config\CfgTmp.zip
%PROGRAM_FILES%\CZWeb\config\init.config.ini
%TEMP%\is-KBB6R.tmp\jpg2bmp.dll
%TEMP%\is-KBB6R.tmp\left_box.bmp
%PROGRAM_FILES%\CZWeb\CZWeb.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tongji[1].html
%TEMP%\is-KBB6R.tmp\setup.bmp
%TEMP%\is-KBB6R.tmp\setup.jpg
%TEMP%\is-KBB6R.tmp\MgRecommend.dll
%TEMP%\is-KBB6R.tmp\myStat.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\CZWeb\is-0P00S.tmp в %PROGRAM_FILES%\CZWeb\msvcr71.dll
%PROGRAM_FILES%\CZWeb\is-AC1A8.tmp в %PROGRAM_FILES%\CZWeb\myStat.dll
%PROGRAM_FILES%\CZWeb\is-CJQR1.tmp в %PROGRAM_FILES%\CZWeb\msvcp71.dll
%PROGRAM_FILES%\CZWeb\is-7B7FK.tmp в %PROGRAM_FILES%\CZWeb\msvcr110.dll
%PROGRAM_FILES%\CZWeb\is-SDGPG.tmp в %PROGRAM_FILES%\CZWeb\ppxa.dll
%PROGRAM_FILES%\CZWeb\plugins\is-520VO.tmp в %PROGRAM_FILES%\CZWeb\plugins\MGeneral.dll
%PROGRAM_FILES%\CZWeb\plugins\is-QHH7S.tmp в %PROGRAM_FILES%\CZWeb\plugins\ZheL.dll
%PROGRAM_FILES%\CZWeb\is-E8J6V.tmp в %PROGRAM_FILES%\CZWeb\sqlite3.dll
%PROGRAM_FILES%\CZWeb\config\is-7RGGI.tmp в %PROGRAM_FILES%\CZWeb\config\init.config.ini
%PROGRAM_FILES%\CZWeb\is-NDMEC.tmp в %PROGRAM_FILES%\CZWeb\msvcp110.dll
%PROGRAM_FILES%\CZWeb\is-J0SIP.tmp в %PROGRAM_FILES%\CZWeb\czwCheck.exe
%PROGRAM_FILES%\CZWeb\is-4KPOA.tmp в %PROGRAM_FILES%\CZWeb\CZWeb.exe
%PROGRAM_FILES%\CZWeb\is-BUO3S.tmp в %PROGRAM_FILES%\CZWeb\unins000.exe
%PROGRAM_FILES%\CZWeb\is-PHL4A.tmp в %PROGRAM_FILES%\CZWeb\CZWeb.exe
%PROGRAM_FILES%\CZWeb\is-14B69.tmp в %PROGRAM_FILES%\CZWeb\CZWebAp.exe
%PROGRAM_FILES%\CZWeb\is-7LH10.tmp в %PROGRAM_FILES%\CZWeb\MFC71.dll
%PROGRAM_FILES%\CZWeb\is-740CM.tmp в %PROGRAM_FILES%\CZWeb\MgRecommend.dll
%PROGRAM_FILES%\CZWeb\is-R887A.tmp в %PROGRAM_FILES%\CZWeb\FSSaleurl.url
%PROGRAM_FILES%\CZWeb\is-DDUKN.tmp в %PROGRAM_FILES%\CZWeb\jpg2bmp.dll

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

co##.##ngmangxuan.com/conf/cfg.zip
cl####.bangmangxuan.com/tongji.html?v=######################################################################################

UDP: