Trojan.DownLoader12.35050

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,C:\ProgramData\sIAowgok\rSYkcwMw.exe,'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rSYkcwMw.exe' = 'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GocwIYEU.exe' = '%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\yoYkgMRX] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'C:\ProgramData\ZQIIosos\XiskIEYE.exe'
'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
'%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cscript.exe' <LS_APPDATA>\Temp/file.vbs
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\YkUq.exe
C:\RCXD6CF.tmp
<Текущая директория>\nYQM.ico
C:\RCXD307.tmp
%TEMP%\pYIsEMgo.bat
<Текущая директория>\YgIc.ico
<Текущая директория>\Pooy.exe
C:\RCXD9AF.tmp
<Текущая директория>\tAAY.ico
<Текущая директория>\AkYk.exe
C:\RCXD818.tmp
<Текущая директория>\Qsko.ico
<Текущая директория>\UcIs.ico
<Текущая директория>\sEwm.exe
C:\RCXCE16.tmp
<Текущая директория>\Ssgw.ico
<Текущая директория>\hIwm.exe
C:\RCXCD2B.tmp
<Текущая директория>\OcYI.ico
<Текущая директория>\XQsy.exe
%TEMP%\McUkIcYE.bat
<Текущая директория>\kksA.ico
<Текущая директория>\hcos.exe
C:\RCXCFCB.tmp
<Текущая директория>\tYku.exe
C:\RCXE5A6.tmp
<Текущая директория>\Wckw.ico
<Текущая директория>\fIEQ.exe
C:\RCXE42F.tmp
<Текущая директория>\EuIM.ico
<Текущая директория>\tgkk.exe
<Текущая директория>\WAAm.exe
C:\RCXE98F.tmp
%TEMP%\ZGwwckAA.bat
C:\RCXE73D.tmp
<Текущая директория>\jaws.ico
%TEMP%\lUAoQcYA.bat
C:\RCXDF6B.tmp
<Текущая директория>\zywQ.ico
<Текущая директория>\hcsk.exe
C:\RCXDD39.tmp
<Текущая директория>\xGAw.ico
<Текущая директория>\WoYo.exe
C:\RCXE2B8.tmp
<Текущая директория>\QiAk.ico
<Текущая директория>\YIAw.exe
C:\RCXE18E.tmp
<Текущая директория>\LmYs.ico
<Текущая директория>\cYIM.exe
C:\RCXCB17.tmp
<Текущая директория>\oikY.ico
<Текущая директория>\joYg.exe
C:\RCXB452.tmp
<Текущая директория>\FkIM.ico
<Текущая директория>\PwUa.exe
C:\RCXAF71.tmp
<Текущая директория>\Dcgk.ico
<Текущая директория>\nMgk.exe
C:\RCXB83B.tmp
<Текущая директория>\BkUk.ico
<Текущая директория>\nwEW.exe
C:\RCXB57C.tmp
C:\ProgramData\kaog.txt
<SYSTEM32>\config\systemprofile\CaIocokM\GocwIYEU
%TEMP%\BcAocEYc.bat
%HOMEPATH%\CaIocokM\GocwIYEU
C:\ProgramData\sIAowgok\rSYkcwMw
C:\ProgramData\ZQIIosos\XiskIEYE.exe
<Текущая директория>\rwoI.ico
<Текущая директория>\FIgS.exe
C:\RCXAE77.tmp
<Текущая директория>\<Имя вируса>
%TEMP%\tigcIYUw.bat
%TEMP%\file.vbs
<Текущая директория>\pqkI.ico
C:\RCXC644.tmp
<Текущая директория>\XmUM.ico
<Текущая директория>\Gckk.exe
C:\RCXC337.tmp
<Текущая директория>\jekE.ico
<Текущая директория>\UAgI.exe
C:\RCXC971.tmp
<Текущая директория>\XMMo.ico
<Текущая директория>\CUcq.exe
C:\RCXC876.tmp
<Текущая директория>\BYsw.ico
<Текущая директория>\uEcQ.exe
%TEMP%\yOgMwwUs.bat
<Текущая директория>\ueMQ.ico
<Текущая директория>\GQMa.exe
<Текущая директория>\rMYc.exe
%TEMP%\fIUcgIkg.bat
C:\RCXBA2F.tmp
C:\RCXC1FE.tmp
<Текущая директория>\awMI.ico
<Текущая директория>\NAIG.exe
C:\RCXC077.tmp
<Текущая директория>\hUIQ.ico
<Текущая директория>\pUcU.exe

Удаляет следующие файлы:

<Текущая директория>\YkUq.exe
<Текущая директория>\YgIc.ico
%TEMP%\McUkIcYE.bat
<Текущая директория>\nYQM.ico
<Текущая директория>\Pooy.exe
<Текущая директория>\Qsko.ico
<Текущая директория>\AkYk.exe
<Текущая директория>\sEwm.exe
<Текущая директория>\UcIs.ico
<Текущая директория>\hIwm.exe
<Текущая директория>\kksA.ico
<Текущая директория>\XQsy.exe
<Текущая директория>\OcYI.ico
<Текущая директория>\hcos.exe
<Текущая директория>\tAAY.ico
<Текущая директория>\EuIM.ico
<Текущая директория>\YIAw.exe
<Текущая директория>\QiAk.ico
<Текущая директория>\tgkk.exe
%TEMP%\lUAoQcYA.bat
<Текущая директория>\fIEQ.exe
<Текущая директория>\Wckw.ico
<Текущая директория>\WoYo.exe
<Текущая директория>\xGAw.ico
<Текущая директория>\tYku.exe
<Текущая директория>\zywQ.ico
<Текущая директория>\cYIM.exe
<Текущая директория>\LmYs.ico
<Текущая директория>\hcsk.exe
<Текущая директория>\Dcgk.ico
<Текущая директория>\nwEW.exe
<Текущая директория>\BkUk.ico
<Текущая директория>\nMgk.exe
%TEMP%\fIUcgIkg.bat
<Текущая директория>\rMYc.exe
<Текущая директория>\pqkI.ico
<Текущая директория>\FIgS.exe
<Текущая директория>\rwoI.ico
%TEMP%\BcAocEYc.bat
<Текущая директория>\FkIM.ico
<Текущая директория>\joYg.exe
<Текущая директория>\oikY.ico
<Текущая директория>\PwUa.exe
<Текущая директория>\ueMQ.ico
<Текущая директория>\BYsw.ico
<Текущая директория>\Gckk.exe
<Текущая директория>\XmUM.ico
<Текущая директория>\uEcQ.exe
<Текущая директория>\Ssgw.ico
<Текущая директория>\CUcq.exe
<Текущая директория>\XMMo.ico
<Текущая директория>\pUcU.exe
<Текущая директория>\hUIQ.ico
<Текущая директория>\GQMa.exe
<Текущая директория>\awMI.ico
<Текущая директория>\UAgI.exe
<Текущая директория>\jekE.ico
<Текущая директория>\NAIG.exe

Перемещает следующие файлы:

C:\RCXD818.tmp в <Текущая директория>\AkYk.exe
C:\RCXD9AF.tmp в <Текущая директория>\Pooy.exe
C:\RCXDD39.tmp в <Текущая директория>\tYku.exe
C:\RCXD6CF.tmp в <Текущая директория>\YkUq.exe
C:\RCXCE16.tmp в <Текущая директория>\sEwm.exe
C:\RCXCFCB.tmp в <Текущая директория>\hcos.exe
C:\RCXD307.tmp в <Текущая директория>\XQsy.exe
C:\RCXE5A6.tmp в <Текущая директория>\tgkk.exe
C:\RCXE73D.tmp в <Текущая директория>\fIEQ.exe
C:\RCXE98F.tmp в <Текущая директория>\WAAm.exe
C:\RCXE42F.tmp в <Текущая директория>\YIAw.exe
C:\RCXDF6B.tmp в <Текущая директория>\WoYo.exe
C:\RCXE18E.tmp в <Текущая директория>\hcsk.exe
C:\RCXE2B8.tmp в <Текущая директория>\cYIM.exe
C:\RCXB83B.tmp в <Текущая директория>\nMgk.exe
C:\RCXBA2F.tmp в <Текущая директория>\rMYc.exe
C:\RCXC077.tmp в <Текущая директория>\GQMa.exe
C:\RCXB57C.tmp в <Текущая директория>\nwEW.exe
C:\RCXAE77.tmp в <Текущая директория>\FIgS.exe
C:\RCXAF71.tmp в <Текущая директория>\PwUa.exe
C:\RCXB452.tmp в <Текущая директория>\joYg.exe
C:\RCXC971.tmp в <Текущая директория>\uEcQ.exe
C:\RCXCB17.tmp в <Текущая директория>\CUcq.exe
C:\RCXCD2B.tmp в <Текущая директория>\hIwm.exe
C:\RCXC876.tmp в <Текущая директория>\Gckk.exe
C:\RCXC1FE.tmp в <Текущая директория>\pUcU.exe
C:\RCXC337.tmp в <Текущая директория>\NAIG.exe
C:\RCXC644.tmp в <Текущая директория>\UAgI.exe

Самоудаляется.

Сетевая активность:

UDP:

DNS ASK dn#.##ftncsi.com
DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: '' WindowName: 'rSYkcwMw.exe'
ClassName: '' WindowName: 'Microsoft Windows'
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'GocwIYEU.exe'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней