Trojan.DownLoader12.35741

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,C:\ProgramData\sIAowgok\rSYkcwMw.exe,'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rSYkcwMw.exe' = 'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GocwIYEU.exe' = '%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\yoYkgMRX] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'C:\ProgramData\ZQIIosos\XiskIEYE.exe'
'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
'%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cscript.exe' <LS_APPDATA>\Temp/file.vbs
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2

Изменения в файловой системе:

Создает следующие файлы:

C:\RCXF4BA.tmp
<Текущая директория>\RIws.ico
<Текущая директория>\iYge.exe
C:\RCXF288.tmp
<Текущая директория>\XAMY.ico
<Текущая директория>\HEAE.exe
C:\RCXF92F.tmp
<Текущая директория>\hWIM.ico
<Текущая директория>\UEgQ.exe
C:\RCXF70C.tmp
<Текущая директория>\ZooY.ico
<Текущая директория>\Lwoo.exe
%TEMP%\gUowoEws.bat
<Текущая директория>\ciUg.ico
<Текущая директория>\hQMw.exe
%TEMP%\qsgQgMMw.bat
<Текущая директория>\iIIM.exe
C:\RCXEC9B.tmp
C:\RCXF0C2.tmp
<Текущая директория>\hccY.ico
<Текущая директория>\jYIC.exe
C:\RCXEEAF.tmp
<Текущая директория>\Wukw.ico
<Текущая директория>\DIgo.exe
<Текущая директория>\hswE.ico
<Текущая директория>\OMYG.exe
C:\RCX565.tmp
<Текущая директория>\gIgQ.exe
C:\RCX248.tmp
%TEMP%\yYwgAIII.bat
<Текущая директория>\eukg.ico
<Текущая директория>\RkUm.exe
C:\RCX8B1.tmp
<Текущая директория>\SEYM.ico
<Текущая директория>\AokK.exe
C:\RCX70B.tmp
C:\RCXFCBA.tmp
<Текущая директория>\PWIc.ico
<Текущая директория>\cowM.exe
C:\RCXFAA6.tmp
<Текущая директория>\OeoA.ico
<Текущая директория>\ScYO.exe
C:\RCXFEED.tmp
%TEMP%\beUMwggs.bat
<Текущая директория>\QoIs.ico
C:\RCXFD95.tmp
<Текущая директория>\FcwA.ico
<Текущая директория>\gEAA.exe
<Текущая директория>\MsAE.ico
<Текущая директория>\DwYO.exe
C:\RCXD4AE.tmp
<Текущая директория>\lUMo.ico
<Текущая директория>\HAwq.exe
C:\RCXD346.tmp
%TEMP%\KIIUoYcg.bat
<Текущая директория>\AkUM.ico
<Текущая директория>\vQgy.exe
<Текущая директория>\juAA.ico
<Текущая директория>\iAcc.exe
C:\RCXD693.tmp
<SYSTEM32>\config\systemprofile\CaIocokM\GocwIYEU
%TEMP%\IEUkkkok.bat
<Текущая директория>\<Имя вируса>
%HOMEPATH%\CaIocokM\GocwIYEU
C:\ProgramData\sIAowgok\rSYkcwMw
C:\ProgramData\ZQIIosos\XiskIEYE.exe
<Текущая директория>\iwIc.ico
<Текущая директория>\wwMC.exe
C:\RCXCF5F.tmp
%TEMP%\cSAQEEEY.bat
C:\ProgramData\kaog.txt
%TEMP%\file.vbs
<Текущая директория>\VckE.exe
C:\RCXE661.tmp
<Текущая директория>\EeAY.ico
<Текущая директория>\TQYS.exe
C:\RCXE3E1.tmp
<Текущая директория>\QeYw.ico
<Текущая директория>\Fkkw.exe
C:\RCXEA59.tmp
<Текущая директория>\QAYY.ico
<Текущая директория>\zkwo.exe
C:\RCXE7F8.tmp
<Текущая директория>\MGck.ico
<Текущая директория>\iAYk.exe
C:\RCXDCDC.tmp
<Текущая директория>\nIQY.ico
C:\RCXD858.tmp
%TEMP%\mqIwoAgU.bat
<Текущая директория>\RuwY.ico
<Текущая директория>\egkW.exe
C:\RCXE2B7.tmp
<Текущая директория>\MGUA.ico
<Текущая директория>\TIYE.exe
C:\RCXE0B3.tmp
<Текущая директория>\NYQE.ico

Удаляет следующие файлы:

<Текущая директория>\RIws.ico
<Текущая директория>\HEAE.exe
<Текущая директория>\XAMY.ico
<Текущая директория>\iYge.exe
<Текущая директория>\hWIM.ico
<Текущая директория>\Lwoo.exe
<Текущая директория>\ZooY.ico
<Текущая директория>\hQMw.exe
<Текущая директория>\ciUg.ico
<Текущая директория>\iIIM.exe
<Текущая директория>\Wukw.ico
<Текущая директория>\jYIC.exe
<Текущая директория>\hccY.ico
<Текущая директория>\DIgo.exe
<Текущая директория>\gIgQ.exe
<Текущая директория>\QoIs.ico
%TEMP%\beUMwggs.bat
<Текущая директория>\hswE.ico
<Текущая директория>\AokK.exe
<Текущая директория>\SEYM.ico
<Текущая директория>\OMYG.exe
<Текущая директория>\ScYO.exe
<Текущая директория>\OeoA.ico
<Текущая директория>\UEgQ.exe
<Текущая директория>\PWIc.ico
<Текущая директория>\gEAA.exe
<Текущая директория>\FcwA.ico
<Текущая директория>\cowM.exe
%TEMP%\KIIUoYcg.bat
<Текущая директория>\iAcc.exe
<Текущая директория>\juAA.ico
<Текущая директория>\AkUM.ico
<Текущая директория>\iAYk.exe
<Текущая директория>\RuwY.ico
<Текущая директория>\vQgy.exe
<Текущая директория>\wwMC.exe
<Текущая директория>\iwIc.ico
%TEMP%\IEUkkkok.bat
<Текущая директория>\lUMo.ico
<Текущая директория>\DwYO.exe
<Текущая директория>\MsAE.ico
<Текущая директория>\HAwq.exe
<Текущая директория>\zkwo.exe
<Текущая директория>\EeAY.ico
<Текущая директория>\VckE.exe
<Текущая директория>\MGck.ico
<Текущая директория>\QAYY.ico
%TEMP%\qsgQgMMw.bat
<Текущая директория>\Fkkw.exe
<Текущая директория>\NYQE.ico
<Текущая директория>\TIYE.exe
<Текущая директория>\nIQY.ico
<Текущая директория>\egkW.exe
<Текущая директория>\QeYw.ico
<Текущая директория>\TQYS.exe
<Текущая директория>\MGUA.ico

Перемещает следующие файлы:

C:\RCXF4BA.tmp в <Текущая директория>\HEAE.exe
C:\RCXF70C.tmp в <Текущая директория>\iYge.exe
C:\RCXF92F.tmp в <Текущая директория>\Lwoo.exe
C:\RCXEEAF.tmp в <Текущая директория>\hQMw.exe
C:\RCXF0C2.tmp в <Текущая директория>\DIgo.exe
C:\RCXF288.tmp в <Текущая директория>\jYIC.exe
C:\RCXFAA6.tmp в <Текущая директория>\UEgQ.exe
C:\RCX248.tmp в <Текущая директория>\gIgQ.exe
C:\RCX565.tmp в <Текущая директория>\OMYG.exe
C:\RCX70B.tmp в <Текущая директория>\AokK.exe
C:\RCXFCBA.tmp в <Текущая директория>\ScYO.exe
C:\RCXFD95.tmp в <Текущая директория>\cowM.exe
C:\RCXFEED.tmp в <Текущая директория>\gEAA.exe
C:\RCXD693.tmp в <Текущая директория>\iAcc.exe
C:\RCXD858.tmp в <Текущая директория>\vQgy.exe
C:\RCXDCDC.tmp в <Текущая директория>\iAYk.exe
C:\RCXCF5F.tmp в <Текущая директория>\wwMC.exe
C:\RCXD346.tmp в <Текущая директория>\HAwq.exe
C:\RCXD4AE.tmp в <Текущая директория>\DwYO.exe
C:\RCXE0B3.tmp в <Текущая директория>\TIYE.exe
C:\RCXE7F8.tmp в <Текущая директория>\zkwo.exe
C:\RCXEA59.tmp в <Текущая директория>\Fkkw.exe
C:\RCXEC9B.tmp в <Текущая директория>\iIIM.exe
C:\RCXE2B7.tmp в <Текущая директория>\egkW.exe
C:\RCXE3E1.tmp в <Текущая директория>\TQYS.exe
C:\RCXE661.tmp в <Текущая директория>\VckE.exe

Самоудаляется.

Сетевая активность:

UDP:

DNS ASK dn#.##ftncsi.com
DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'GocwIYEU.exe'
ClassName: '' WindowName: 'rSYkcwMw.exe'
ClassName: 'Indicator' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней