Trojan.DownLoader12.32923

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM.exe,'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AcIcUcAM.exe' = '%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'jaQEcQMQ.exe' = '%HOMEPATH%\NIMMEwsg\jaQEcQMQ.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM.exe'
'%HOMEPATH%\NIMMEwsg\jaQEcQMQ.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YwAwocgQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\yawsgYcM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=1148
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\pMwswYAM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\wUsEYIsk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MYcUUUIM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' /pid=3012
'<SYSTEM32>\reg.exe' /pid=2804
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cscript.exe' /pid=2896
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\VqIkYYQg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\jYkMQscM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\KkEwoMwE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\cmsUAgUI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tkoUoUIw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\NEssYcgk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\NwIIEoYw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\giIkgUEQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tgcUQoAM.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\RCX27.tmp
<Текущая директория>\wwEI.exe
<Текущая директория>\IaIA.ico
C:\RCX28.tmp
<Текущая директория>\XUkQ.exe
<Текущая директория>\XWso.ico
C:\RCX26.tmp
<Текущая директория>\JoEe.exe
<Текущая директория>\YKwA.ico
C:\RCX24.tmp
<Текущая директория>\lwMo.exe
<Текущая директория>\tEAI.ico
C:\RCX25.tmp
%TEMP%\CawQkwgo.bat
C:\RCX2B.tmp
<Текущая директория>\xYks.exe
<Текущая директория>\dacQ.ico
C:\RCX2C.tmp
<Текущая директория>\Akkk.exe
<Текущая директория>\qWwY.ico
C:\RCX2A.tmp
C:\RCX29.tmp
<Текущая директория>\Josa.exe
<Текущая директория>\jKYs.ico
<Текущая директория>\pwkI.exe
<Текущая директория>\lwok.ico
%TEMP%\YwAwocgQ.bat
%TEMP%\pWMEMcIk.bat
C:\RCX1F.tmp
<Текущая директория>\guQU.ico
%TEMP%\wUsEYIsk.bat
<Текущая директория>\wcUG.exe
<Текущая директория>\naUQ.ico
C:\RCX1E.tmp
<Текущая директория>\KUUK.exe
<Текущая директория>\cwMk.ico
%TEMP%\pMwswYAM.bat
<Текущая директория>\qEEY.exe
<Текущая директория>\xkEE.ico
C:\RCX1D.tmp
C:\RCX20.tmp
C:\RCX23.tmp
<Текущая директория>\sYcY.exe
<Текущая директория>\iusk.ico
<Текущая директория>\kMcY.exe
<Текущая директория>\IQQc.ico
%TEMP%\MYcUUUIM.bat
%TEMP%\gwUsscYA.bat
C:\RCX21.tmp
<Текущая директория>\ckcC.exe
<Текущая директория>\ywYI.ico
C:\RCX22.tmp
<Текущая директория>\FsMO.exe
<Текущая директория>\fQEM.ico
C:\RCX37.tmp
<Текущая директория>\TwsC.exe
<Текущая директория>\LIUs.ico
C:\RCX38.tmp
<Текущая директория>\kkUk.exe
<Текущая директория>\UCYI.ico
C:\RCX36.tmp
C:\RCX35.tmp
%TEMP%\qEMQwAAc.bat
<Текущая директория>\bIAs.exe
<Текущая директория>\RoAg.exe
<Текущая директория>\WkUM.ico
%TEMP%\VqIkYYQg.bat
<Текущая директория>\mkIY.ico
<Текущая директория>\Muko.ico
%TEMP%\rWcggMgE.bat
C:\RCX3B.tmp
%TEMP%\awcgEYUU.bat
C:\RCX3C.tmp
<Текущая директория>\NYAe.exe
<Текущая директория>\FEEQ.exe
<Текущая директория>\XCMI.ico
C:\RCX39.tmp
<Текущая директория>\DooC.exe
<Текущая директория>\Auco.ico
C:\RCX3A.tmp
<Текущая директория>\Tkwm.exe
%TEMP%\pAsAEwsc.bat
C:\RCX2F.tmp
<Текущая директория>\YwAu.exe
C:\RCX30.tmp
<Текущая директория>\XUMu.exe
<Текущая директория>\QKIs.ico
<Текущая директория>\gkEI.ico
C:\RCX2D.tmp
<Текущая директория>\TAkW.exe
<Текущая директория>\egos.ico
C:\RCX2E.tmp
<Текущая директория>\bsIW.exe
<Текущая директория>\EGEQ.ico
%TEMP%\yawsgYcM.bat
<Текущая директория>\AocU.ico
C:\RCX33.tmp
<Текущая директория>\Okgm.exe
<Текущая директория>\Qcgc.ico
C:\RCX34.tmp
<Текущая директория>\GIsU.exe
<Текущая директория>\UMgw.ico
C:\RCX31.tmp
<Текущая директория>\AQEG.exe
<Текущая директория>\RWYQ.ico
C:\RCX32.tmp
<Текущая директория>\CIAe.exe
<Текущая директория>\VQgk.ico
<Текущая директория>\zsUW.exe
<Текущая директория>\nYYU.ico
%TEMP%\FAUooYIE.bat
<Текущая директория>\kEsc.ico
%TEMP%\giIkgUEQ.bat
C:\RCX8.tmp
C:\RCX7.tmp
<Текущая директория>\UokG.exe
<Текущая директория>\TkMA.ico
C:\RCX5.tmp
<Текущая директория>\msYk.exe
<Текущая директория>\yqYU.ico
C:\RCX6.tmp
<Текущая директория>\DgQc.exe
C:\RCXC.tmp
<Текущая директория>\QMoS.exe
<Текущая директория>\XMME.ico
<Текущая директория>\hwUK.exe
<Текущая директория>\ycUM.ico
%TEMP%\VGowgUgg.bat
C:\RCXB.tmp
<Текущая директория>\sMEg.exe
<Текущая директория>\fOgM.ico
C:\RCX9.tmp
<Текущая директория>\SQUc.exe
<Текущая директория>\WyYM.ico
C:\RCXA.tmp
<Текущая директория>\DYQs.exe
%TEMP%\jYkMQscM.bat
<Текущая директория>\<Имя вируса>
<Текущая директория>\uysc.ico
%TEMP%\file.vbs
C:\RCX1.tmp
%TEMP%\PoAEgswY.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\vesswIQA\AcIcUcAM
%HOMEPATH%\NIMMEwsg\jaQEcQMQ
<Текущая директория>\Swoc.ico
C:\Documents and Settings\LocalService\NIMMEwsg\jaQEcQMQ
%ALLUSERSPROFILE%\casg.txt
%TEMP%\viwEUEEM.bat
<Текущая директория>\ucQC.exe
<Текущая директория>\fsgI.ico
%TEMP%\NwIIEoYw.bat
<Текущая директория>\KgIa.exe
<Текущая директория>\vEAw.ico
C:\RCX4.tmp
C:\RCX3.tmp
C:\RCX2.tmp
<Текущая директория>\sQgo.exe
%TEMP%\KkEwoMwE.bat
<Текущая директория>\xcIk.exe
<Текущая директория>\sksI.ico
%TEMP%\EgkoAAow.bat
%TEMP%\tkoUoUIw.bat
<Текущая директория>\Tuog.ico
%TEMP%\GCQIggMU.bat
<Текущая директория>\JiUI.ico
C:\RCX18.tmp
<Текущая директория>\iwUY.exe
C:\RCX17.tmp
<Текущая директория>\DEEg.exe
<Текущая директория>\beMg.ico
C:\RCX15.tmp
<Текущая директория>\WcMi.exe
<Текущая директория>\OuUI.ico
C:\RCX16.tmp
<Текущая директория>\jgAI.exe
<Текущая директория>\dEYQ.ico
C:\RCX1B.tmp
<Текущая директория>\rYIU.exe
C:\RCX1C.tmp
%TEMP%\jakUgYsI.bat
<Текущая директория>\NcEc.exe
<Текущая директория>\BaEc.ico
<Текущая директория>\ZQAS.exe
<Текущая директория>\GGcc.ico
C:\RCX19.tmp
%TEMP%\NEssYcgk.bat
%TEMP%\NisoQwYI.bat
C:\RCX1A.tmp
<Текущая директория>\okYE.exe
<Текущая директория>\BUAM.ico
C:\RCXF.tmp
<Текущая директория>\DYAK.exe
<Текущая директория>\lQUY.ico
C:\RCX10.tmp
<Текущая директория>\jIsM.exe
<Текущая директория>\xMUA.exe
<Текущая директория>\NesI.ico
C:\RCXD.tmp
<Текущая директория>\DokE.ico
C:\RCXE.tmp
%TEMP%\tgcUQoAM.bat
C:\RCX11.tmp
C:\RCX14.tmp
<Текущая директория>\XcoI.exe
%TEMP%\OeAggskg.bat
<Текущая директория>\LUAA.exe
<Текущая директория>\EuMw.ico
%TEMP%\cmsUAgUI.bat
<Текущая директория>\ZCAg.ico
C:\RCX12.tmp
<Текущая директория>\okIm.exe
<Текущая директория>\NCIU.ico
C:\RCX13.tmp
<Текущая директория>\KoMY.exe
<Текущая директория>\CgQE.ico

Удаляет следующие файлы:

<Текущая директория>\XUkQ.exe
<Текущая директория>\IaIA.ico
%TEMP%\CawQkwgo.bat
<Текущая директория>\XWso.ico
<Текущая директория>\lwMo.exe
<Текущая директория>\YKwA.ico
<Текущая директория>\wwEI.exe
<Текущая директория>\tEAI.ico
<Текущая директория>\dacQ.ico
<Текущая директория>\xYks.exe
<Текущая директория>\qWwY.ico
<Текущая директория>\Akkk.exe
<Текущая директория>\jKYs.ico
<Текущая директория>\Josa.exe
<Текущая директория>\lwok.ico
<Текущая директория>\pwkI.exe
<Текущая директория>\JoEe.exe
<Текущая директория>\wcUG.exe
%TEMP%\pWMEMcIk.bat
<Текущая директория>\ckcC.exe
<Текущая директория>\naUQ.ico
<Текущая директория>\qEEY.exe
<Текущая директория>\cwMk.ico
<Текущая директория>\guQU.ico
<Текущая директория>\xkEE.ico
<Текущая директория>\iusk.ico
<Текущая директория>\sYcY.exe
<Текущая директория>\IQQc.ico
<Текущая директория>\kMcY.exe
<Текущая директория>\FsMO.exe
<Текущая директория>\ywYI.ico
%TEMP%\gwUsscYA.bat
<Текущая директория>\fQEM.ico
<Текущая директория>\TwsC.exe
<Текущая директория>\WkUM.ico
<Текущая директория>\kkUk.exe
<Текущая директория>\LIUs.ico
<Текущая директория>\bIAs.exe
%TEMP%\qEMQwAAc.bat
<Текущая директория>\RoAg.exe
<Текущая директория>\Qcgc.ico
<Текущая директория>\FEEQ.exe
<Текущая директория>\XCMI.ico
%TEMP%\rWcggMgE.bat
<Текущая директория>\Auco.ico
<Текущая директория>\DooC.exe
<Текущая директория>\UCYI.ico
<Текущая директория>\Tkwm.exe
<Текущая директория>\mkIY.ico
<Текущая директория>\AocU.ico
<Текущая директория>\YwAu.exe
%TEMP%\pAsAEwsc.bat
<Текущая директория>\XUMu.exe
<Текущая директория>\gkEI.ico
<Текущая директория>\egos.ico
<Текущая директория>\TAkW.exe
<Текущая директория>\EGEQ.ico
<Текущая директория>\bsIW.exe
<Текущая директория>\Okgm.exe
<Текущая директория>\VQgk.ico
<Текущая директория>\GIsU.exe
<Текущая директория>\UMgw.ico
<Текущая директория>\AQEG.exe
<Текущая директория>\QKIs.ico
<Текущая директория>\CIAe.exe
<Текущая директория>\RWYQ.ico
<Текущая директория>\sMEg.exe
<Текущая директория>\kEsc.ico
<Текущая директория>\SQUc.exe
<Текущая директория>\fOgM.ico
<Текущая директория>\zsUW.exe
%TEMP%\FAUooYIE.bat
<Текущая директория>\DgQc.exe
<Текущая директория>\nYYU.ico
<Текущая директория>\ycUM.ico
<Текущая директория>\hwUK.exe
<Текущая директория>\NesI.ico
<Текущая директория>\xMUA.exe
<Текущая директория>\QMoS.exe
<Текущая директория>\WyYM.ico
%TEMP%\VGowgUgg.bat
<Текущая директория>\XMME.ico
<Текущая директория>\yqYU.ico
<Текущая директория>\uysc.ico
<Текущая директория>\sQgo.exe
<Текущая директория>\xcIk.exe
%TEMP%\EgkoAAow.bat
<Текущая директория>\DYQs.exe
%TEMP%\PoAEgswY.bat
%TEMP%\viwEUEEM.bat
<Текущая директория>\Swoc.ico
<Текущая директория>\UokG.exe
<Текущая директория>\vEAw.ico
<Текущая директория>\msYk.exe
<Текущая директория>\TkMA.ico
<Текущая директория>\ucQC.exe
<Текущая директория>\sksI.ico
<Текущая директория>\KgIa.exe
<Текущая директория>\fsgI.ico
<Текущая директория>\jgAI.exe
<Текущая директория>\Tuog.ico
%TEMP%\NisoQwYI.bat
<Текущая директория>\JiUI.ico
<Текущая директория>\WcMi.exe
%TEMP%\GCQIggMU.bat
<Текущая директория>\iwUY.exe
<Текущая директория>\OuUI.ico
<Текущая директория>\NcEc.exe
%TEMP%\jakUgYsI.bat
<Текущая директория>\KUUK.exe
<Текущая директория>\dEYQ.ico
<Текущая директория>\GGcc.ico
<Текущая директория>\ZQAS.exe
<Текущая директория>\BaEc.ico
<Текущая директория>\rYIU.exe
<Текущая директория>\beMg.ico
<Текущая директория>\lQUY.ico
<Текущая директория>\DYAK.exe
<Текущая директория>\NCIU.ico
<Текущая директория>\okIm.exe
<Текущая директория>\DokE.ico
<Текущая директория>\jIsM.exe
<Текущая директория>\BUAM.ico
<Текущая директория>\okYE.exe
<Текущая директория>\LUAA.exe
<Текущая директория>\ZCAg.ico
<Текущая директория>\DEEg.exe
<Текущая директория>\EuMw.ico
<Текущая директория>\CgQE.ico
<Текущая директория>\KoMY.exe
<Текущая директория>\XcoI.exe
%TEMP%\OeAggskg.bat

Перемещает следующие файлы:

C:\RCX28.tmp в <Текущая директория>\XUkQ.exe
C:\RCX27.tmp в <Текущая директория>\wwEI.exe
C:\RCX26.tmp в <Текущая директория>\lwMo.exe
C:\RCX29.tmp в <Текущая директория>\Josa.exe
C:\RCX2C.tmp в <Текущая директория>\Akkk.exe
C:\RCX2B.tmp в <Текущая директория>\xYks.exe
C:\RCX2A.tmp в <Текущая директория>\pwkI.exe
C:\RCX21.tmp в <Текущая директория>\ckcC.exe
C:\RCX20.tmp в <Текущая директория>\wcUG.exe
C:\RCX1F.tmp в <Текущая директория>\ZsUW.exe
C:\RCX22.tmp в <Текущая директория>\FsMO.exe
C:\RCX25.tmp в <Текущая директория>\JoEe.exe
C:\RCX24.tmp в <Текущая директория>\kMcY.exe
C:\RCX23.tmp в <Текущая директория>\sYcY.exe
C:\RCX2D.tmp в <Текущая директория>\TAkW.exe
C:\RCX37.tmp в <Текущая директория>\TwsC.exe
C:\RCX36.tmp в <Текущая директория>\RoAg.exe
C:\RCX35.tmp в <Текущая директория>\bIAs.exe
C:\RCX38.tmp в <Текущая директория>\kkUk.exe
C:\RCX3B.tmp в <Текущая директория>\FEEQ.exe
C:\RCX3A.tmp в <Текущая директория>\Tkwm.exe
C:\RCX39.tmp в <Текущая директория>\DooC.exe
C:\RCX30.tmp в <Текущая директория>\XUMu.exe
C:\RCX2F.tmp в <Текущая директория>\YwAu.exe
C:\RCX2E.tmp в <Текущая директория>\bsIW.exe
C:\RCX31.tmp в <Текущая директория>\AQEG.exe
C:\RCX34.tmp в <Текущая директория>\GIsU.exe
C:\RCX33.tmp в <Текущая директория>\Okgm.exe
C:\RCX32.tmp в <Текущая директория>\CIAe.exe
C:\RCX1E.tmp в <Текущая директория>\qEEY.exe
C:\RCXA.tmp в <Текущая директория>\sMEg.exe
C:\RCX9.tmp в <Текущая директория>\DgQc.exe
C:\RCX8.tmp в <Текущая директория>\zsUW.exe
C:\RCXB.tmp в <Текущая директория>\SQUc.exe
C:\RCXE.tmp в <Текущая директория>\xMUA.exe
C:\RCXD.tmp в <Текущая директория>\hwUK.exe
C:\RCXC.tmp в <Текущая директория>\QMoS.exe
C:\RCX3.tmp в <Текущая директория>\xcIk.exe
C:\RCX2.tmp в <Текущая директория>\sQgo.exe
C:\RCX1.tmp в <Текущая директория>\DYQs.exe
C:\RCX4.tmp в <Текущая директория>\ucQC.exe
C:\RCX7.tmp в <Текущая директория>\msYk.exe
C:\RCX6.tmp в <Текущая директория>\UokG.exe
C:\RCX5.tmp в <Текущая директория>\KgIa.exe
C:\RCXF.tmp в <Текущая директория>\jIsM.exe
C:\RCX19.tmp в <Текущая директория>\jgAI.exe
C:\RCX18.tmp в <Текущая директория>\iwUY.exe
C:\RCX17.tmp в <Текущая директория>\WcMi.exe
C:\RCX1A.tmp в <Текущая директория>\ZQAS.exe
C:\RCX1D.tmp в <Текущая директория>\KUUK.exe
C:\RCX1C.tmp в <Текущая директория>\NcEc.exe
C:\RCX1B.tmp в <Текущая директория>\rYIU.exe
C:\RCX12.tmp в <Текущая директория>\okIm.exe
C:\RCX11.tmp в <Текущая директория>\DYAK.exe
C:\RCX10.tmp в <Текущая директория>\okYE.exe
C:\RCX13.tmp в <Текущая директория>\KoMY.exe
C:\RCX16.tmp в <Текущая директория>\DEEg.exe
C:\RCX15.tmp в <Текущая директория>\LUAA.exe
C:\RCX14.tmp в <Текущая директория>\XcoI.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'74.##5.232.51':80

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'AcIcUcAM.exe'
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'jaQEcQMQ.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней