Trojan.DownLoader12.33754

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '<Имя диска съемного носителя>:\Thunder\546886.EXE'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\regsvr32.exe' /s "<Имя диска съемного носителя>:\ndsafeocx\ndsafeocx.dll"
'<SYSTEM32>\taskkill.exe' /f /im 360se.exe
'<SYSTEM32>\taskkill.exe' /f /im IEXPLORE.EXE

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1607' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2101' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '120B' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '00002904'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1607' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '2101' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '120B' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] 'CurrentLevel' = '00002904'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1607' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2101' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '120B' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] 'CurrentLevel' = '00002904'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000001'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1607' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2101' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '120B' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] 'CurrentLevel' = '00002904'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000001'

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{8D671CAF-BED2-11E4-A39F-E81CA1A1EAF3}.dat
\Device\HarddiskVolume3\Thunder\Safte.exe
%TEMP%\~DF04A2B4D9D1FB628D.TMP
%TEMP%\~DFAAFEE6E4CB751E3C.TMP
<LS_APPDATA>\Microsoft\Internet Explorer\Recovery\High\Active\{940D1492-BED2-11E4-A39F-E81CA1A1EAF3}.dat
\Device\HarddiskVolume3\Thunder\AliTask.exe
\Device\HarddiskVolume3\ndsafeocx\ndsafeocx.DLL
\Device\HarddiskVolume3\Thunder\546886.EXE
\Device\HarddiskVolume3\Thunder\deleteme.bat
\Device\HarddiskVolume3\Thunder\LogMePath.dat

Удаляет следующие файлы: