Trojan.DownLoader12.39653

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Input Desktop Host Authentication' = '%APPDATA%\cdnpfjmuuuawnqp\khgctpslsi.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\cdnpfjmuuuawnqp\cpnpaqqurey.exe' "%APPDATA%\cdnpfjmuuuawnqp\khgctpslsi.exe"
'%APPDATA%\cdnpfjmuuuawnqp\khgctpslsi.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\cdnpfjmuuuawnqp\khgctpslsi.l7y
%APPDATA%\cdnpfjmuuuawnqp\cpnpaqqurey.exe
%APPDATA%\cdnpfjmuuuawnqp\khgctpslsi.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\cdnpfjmuuuawnqp\khgctpslsi.exe

Сетевая активность:

Подключается к:

'la###write.net':80
'se###awrite.net':80
'se####oclock.net':80
'si###espeak.net':80
'la###oclock.net':80
'se###aspeak.net':80
'ma####albrought.net':80
'la###speak.net':80
'la###niece.net':80
'se###aniece.net':80
'mo###rspeak.net':80
'mo####inspeak.net':80
'mo####oclock.net':80
'po####lespeak.net':80
'po####leniece.net':80
'mo####inniece.net':80
'mo###rniece.net':80
'si###eniece.net':80
'si###ewrite.net':80
'si####oclock.net':80
'mo###rwrite.net':80
'se####lbrought.net':80
'le####rought.net':80
'fi####brought.net':80
'sw###method.net':80
'sw###action.net':80
'pr####lymethod.net':80
'fi####action.net':80
'le###method.net':80
'le###action.net':80
'le###direct.net':80
'fi####direct.net':80
'pr####lyaction.net':80
'se####laction.net':80
'ma####almethod.net':80
'ma####alaction.net':80
'ma####aldirect.net':80
'se####ldirect.net':80
'pr####lydirect.net':80
'sw###direct.net':80
'sw####rought.net':80
'se####lmethod.net':80
'pr####lybrought.net':80

TCP:

Запросы HTTP GET:

http://la###write.net/index.php?em############################################
http://se###awrite.net/index.php?em############################################
http://se####oclock.net/index.php?em############################################
http://si###espeak.net/index.php?em############################################
http://la###oclock.net/index.php?em############################################
http://se###aspeak.net/index.php?em############################################
http://ma####albrought.net/index.php?em############################################
http://la###speak.net/index.php?em############################################
http://la###niece.net/index.php?em############################################
http://se###aniece.net/index.php?em############################################
http://mo###rspeak.net/index.php?em############################################
http://mo####inspeak.net/index.php?em############################################
http://mo####oclock.net/index.php?em############################################
http://po####lespeak.net/index.php?em############################################
http://po####leniece.net/index.php?em############################################
http://mo####inniece.net/index.php?em############################################
http://mo###rniece.net/index.php?em############################################
http://si###eniece.net/index.php?em############################################
http://si###ewrite.net/index.php?em############################################
http://si####oclock.net/index.php?em############################################
http://mo###rwrite.net/index.php?em############################################
http://se####lbrought.net/index.php?em############################################
http://le####rought.net/index.php?em############################################
http://fi####brought.net/index.php?em############################################
http://sw###method.net/index.php?em############################################
http://sw###action.net/index.php?em############################################
http://pr####lymethod.net/index.php?em############################################
http://fi####action.net/index.php?em############################################
http://le###method.net/index.php?em############################################
http://le###action.net/index.php?em############################################
http://le###direct.net/index.php?em############################################
http://fi####direct.net/index.php?em############################################
http://pr####lyaction.net/index.php?em############################################
http://se####laction.net/index.php?em############################################
http://ma####almethod.net/index.php?em############################################
http://ma####alaction.net/index.php?em############################################
http://ma####aldirect.net/index.php?em############################################
http://se####ldirect.net/index.php?em############################################
http://pr####lydirect.net/index.php?em############################################
http://sw###direct.net/index.php?em############################################
http://sw####rought.net/index.php?em############################################
http://se####lmethod.net/index.php?em############################################
http://pr####lybrought.net/index.php?em############################################