Trojan.DownLoader12.35952

Добавлен в вирусную базу Dr.Web: 2015-03-03

Описание добавлено: 2015-03-03

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,C:\ProgramData\sIAowgok\rSYkcwMw.exe,'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rSYkcwMw.exe' = 'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GocwIYEU.exe' = '%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\services\yoYkgMRX] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'C:\ProgramData\ZQIIosos\XiskIEYE.exe'
'C:\ProgramData\sIAowgok\rSYkcwMw.exe'
'%HOMEPATH%\CaIocokM\GocwIYEU.exe'

Запускает на исполнение:

'<SYSTEM32>\cscript.exe' <LS_APPDATA>\Temp/file.vbs
'<SYSTEM32>\conhost.exe' /c ""%TEMP%\fmIUgYcU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\DgEY.ico
C:\RCX1740.tmp
<Текущая директория>\vcgG.exe
<Текущая директория>\JgYm.exe
<Текущая директория>\hgMs.exe
<Текущая директория>\EeYY.ico
C:\RCX18E7.tmp
<Текущая директория>\MawY.ico
<Текущая директория>\TYEO.exe
<Текущая директория>\YmUM.ico
C:\RCXF9F.tmp
C:\RCX1377.tmp
C:\RCX151D.tmp
<Текущая директория>\EkQe.exe
<Текущая директория>\BSss.ico
C:\RCX1E86.tmp
%TEMP%\PuMQcMYE.bat
<Текущая директория>\ZQUo.exe
<Текущая директория>\KsAQ.ico
%TEMP%\fmIUgYcU.bat
C:\RCX1FFD.tmp
<Текущая директория>\kMwq.exe
<Текущая директория>\ZiUc.ico
<Текущая директория>\bkcQ.exe
<Текущая директория>\DYwE.ico
C:\RCX1A9C.tmp
C:\RCX1BE5.tmp
C:\RCX1D4D.tmp
<Текущая директория>\oMsY.exe
<Текущая директория>\PqAM.ico
<Текущая директория>\tMsi.exe
<Текущая директория>\FUQg.exe
<Текущая директория>\HkUM.ico
%TEMP%\file.vbs
C:\RCX195.tmp
C:\RCX32C.tmp
<Текущая директория>\HMES.exe
<Текущая директория>\WGUM.ico
C:\ProgramData\kaog.txt
C:\ProgramData\ZQIIosos\XiskIEYE.exe
C:\ProgramData\sIAowgok\rSYkcwMw
%HOMEPATH%\CaIocokM\GocwIYEU
<SYSTEM32>\config\systemprofile\CaIocokM\GocwIYEU
%TEMP%\AiMUskcs.bat
<Текущая директория>\<Имя вируса>
%TEMP%\soMwQUEQ.bat
%TEMP%\BYMAUgsM.bat
<Текущая директория>\LOQo.ico
C:\RCX995.tmp
<Текущая директория>\IUcy.exe
<Текущая директория>\VEEU.ico
%TEMP%\lucgkMYk.bat
C:\RCXBC8.tmp
<Текущая директория>\XIgS.exe
C:\RCX55F.tmp
<Текущая директория>\fMMi.exe
<Текущая директория>\bOkM.ico
<Текущая директория>\zmkc.ico
<Текущая директория>\mKcs.ico
C:\RCX724.tmp
<Текущая директория>\fMoe.exe

Удаляет следующие файлы:

<Текущая директория>\JgYm.exe
<Текущая директория>\DgEY.ico
<Текущая директория>\hgMs.exe
<Текущая директория>\EeYY.ico
<Текущая директория>\EkQe.exe
<Текущая директория>\BSss.ico
<Текущая директория>\vcgG.exe
<Текущая директория>\MawY.ico
<Текущая директория>\DYwE.ico
%TEMP%\PuMQcMYE.bat
<Текущая директория>\ZQUo.exe
<Текущая директория>\kMwq.exe
<Текущая директория>\KsAQ.ico
<Текущая директория>\PqAM.ico
<Текущая директория>\bkcQ.exe
<Текущая директория>\ZiUc.ico
<Текущая директория>\oMsY.exe
<Текущая директория>\TYEO.exe
<Текущая директория>\bOkM.ico
<Текущая директория>\HMES.exe
<Текущая директория>\zmkc.ico
<Текущая директория>\fMMi.exe
<Текущая директория>\HkUM.ico
%TEMP%\soMwQUEQ.bat
<Текущая директория>\WGUM.ico
<Текущая директория>\FUQg.exe
<Текущая директория>\fMoe.exe
<Текущая директория>\VEEU.ico
<Текущая директория>\IUcy.exe
<Текущая директория>\YmUM.ico
<Текущая директория>\tMsi.exe
<Текущая директория>\XIgS.exe
<Текущая директория>\mKcs.ico
<Текущая директория>\LOQo.ico
%TEMP%\BYMAUgsM.bat

Перемещает следующие файлы:

C:\RCX18E7.tmp в <Текущая директория>\JgYm.exe
C:\RCX1A9C.tmp в <Текущая директория>\hgMs.exe
C:\RCX151D.tmp в <Текущая директория>\EkQe.exe
C:\RCX1740.tmp в <Текущая директория>\vcgG.exe
C:\RCX1E86.tmp в <Текущая директория>\ZQUo.exe
C:\RCX1FFD.tmp в <Текущая директория>\kMwq.exe
C:\RCX1BE5.tmp в <Текущая директория>\bkcQ.exe
C:\RCX1D4D.tmp в <Текущая директория>\oMsY.exe
C:\RCX55F.tmp в <Текущая директория>\fMMi.exe
C:\RCX724.tmp в <Текущая директория>\fMoe.exe
C:\RCX195.tmp в <Текущая директория>\FUQg.exe
C:\RCX32C.tmp в <Текущая директория>\HMES.exe
C:\RCXF9F.tmp в <Текущая директория>\tMsi.exe
C:\RCX1377.tmp в <Текущая директория>\TYEO.exe
C:\RCX995.tmp в <Текущая директория>\XIgS.exe
C:\RCXBC8.tmp в <Текущая директория>\IUcy.exe

Самоудаляется.

Сетевая активность:

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Microsoft Windows'
ClassName: '' WindowName: 'GocwIYEU.exe'
ClassName: '' WindowName: 'rSYkcwMw.exe'
ClassName: 'Indicator' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней