Trojan.DownLoader12.60101

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Credential UserMode Awareness' = '%APPDATA%\qj9wlm\zhyfnm.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\qj9wlm\boe2csifa.exe' "%APPDATA%\qj9wlm\zhyfnm.exe"
'%APPDATA%\qj9wlm\zhyfnm.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\qj9wlm\zhyfnm.whjom
%APPDATA%\qj9wlm\boe2csifa.exe
%APPDATA%\qj9wlm\zhyfnm.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\qj9wlm\zhyfnm.exe

Сетевая активность:

Подключается к:

'fo####letter.net':80
'in####seletter.net':80
'fo####different.net':80
'in#####esurprise.net':80
'fo####beside.net':80
'in####sebeside.net':80
'wo###beside.net':80
're####erbeside.net':80
'wo###letter.net':80
'in#####edifferent.net':80
'wo####urprise.net':80
're#####rsurprise.net':80
'ef####surprise.net':80
'th####hsurprise.net':80
'ef####beside.net':80
'su####letter.net':80
'wi####different.net':80
'su####different.net':80
'ef####different.net':80
'th#####different.net':80
'fo####surprise.net':80
'th####hbeside.net':80
'ef####letter.net':80
'th####hletter.net':80

TCP:

Запросы HTTP GET:

http://fo####letter.net/index.php?em##############################################################
http://in####seletter.net/index.php?em##############################################################
http://fo####different.net/index.php?em##############################################################
http://in#####esurprise.net/index.php?em##############################################################
http://fo####beside.net/index.php?em##############################################################
http://in####sebeside.net/index.php?em##############################################################
http://wo###beside.net/index.php?em##############################################################
http://re####erbeside.net/index.php?em##############################################################
http://wo###letter.net/index.php?em##############################################################
http://in#####edifferent.net/index.php?em##############################################################
http://wo####urprise.net/index.php?em##############################################################
http://re#####rsurprise.net/index.php?em##############################################################
http://ef####surprise.net/index.php?em##############################################################
http://th####hsurprise.net/index.php?em##############################################################
http://ef####beside.net/index.php?em##############################################################
http://su####letter.net/index.php?em##############################################################
http://wi####different.net/index.php?em##############################################################
http://su####different.net/index.php?em##############################################################
http://ef####different.net/index.php?em##############################################################
http://th#####different.net/index.php?em##############################################################
http://fo####surprise.net/index.php?em##############################################################
http://th####hbeside.net/index.php?em##############################################################
http://ef####letter.net/index.php?em##############################################################
http://th####hletter.net/index.php?em##############################################################