Trojan.DownLoader12.61892

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\Data\local\stubexe\0x411302B8BB1A1330\MaskMyIP.exe'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=;ftp=;https=;'
[<HKCU>\Software\Spoon\SandboxCache\056B6DD7C6D89185\roaming\modified\@HKCU@\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=;ftp=;https=;'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0\Woozle.PEResourceExplorer.XPManifest.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\Nullsoft.NSIS.exehead.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\X86_Nullsoft.NSIS.exehead@1.0.0.0.manifest.__tmp__
<Текущая директория>\Data\roaming\meta\@APPDATACOMMON@\MaskMyIP\setting.dat.__meta__.__tmp__
<Текущая директория>\Data\roaming\modified\@APPDATACOMMON@\MaskMyIP\setting.dat
<Текущая директория>\Data\roaming\meta\@APPDATACOMMON@\MaskMyIP.__meta__.__tmp__
<Текущая директория>\Data\local\temp\@APPDATACOMMON@\MaskMyIP\setting.dat
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\Flash10e.ocx_0xc06e6e160f34ce092301bd2b29067f3f.2.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\FlashUtil10e.exe_0x678f50cbc5537150cfdcca7944130b6d.1.manifest.__tmp__
<Текущая директория>\Data\xsandbox.bin.__tmp__
<Текущая директория>\Data\local\stubexe\0x411302B8BB1A1330\MaskMyIP.exe.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe_0xd576154bbda8bb8bf097a2597a79cb6b.1.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\uninstall_activeX.exe_0xf43a50b2fd91e872089f50dac29bf4e9.1.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe.BAK_0x4afc3932f2e8fcd4999a106914981604.1.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe.tmp_0x4afc3932f2e8fcd4999a106914981604.1.manifest.__tmp__

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\[1].PNG

Перемещает следующие файлы:

%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0\Woozle.PEResourceExplorer.XPManifest.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0\Woozle.PEResourceExplorer.XPManifest.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\X86_Nullsoft.NSIS.exehead@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\X86_Nullsoft.NSIS.exehead@1.0.0.0.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\Nullsoft.NSIS.exehead.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\Nullsoft.NSIS.exehead.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0\x86_Woozle.PEResourceExplorer.XPManifest@1.0.0.0.manifest
<Текущая директория>\Data\roaming\meta\@APPDATACOMMON@\MaskMyIP\setting.dat.__meta__.__tmp__ в <Текущая директория>\Data\roaming\meta\@APPDATACOMMON@\MaskMyIP\setting.dat.__meta__
<Текущая директория>\Data\local\temp\@APPDATACOMMON@\MaskMyIP\setting.dat в <Текущая директория>\Data\roaming\modified\@APPDATACOMMON@\MaskMyIP\setting.dat
<Текущая директория>\Data\roaming\meta\@APPDATACOMMON@\MaskMyIP.__meta__.__tmp__ в <Текущая директория>\Data\roaming\meta\@APPDATACOMMON@\MaskMyIP.__meta__
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\uninstall_activeX.exe_0xf43a50b2fd91e872089f50dac29bf4e9.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\uninstall_activeX.exe_0xf43a50b2fd91e872089f50dac29bf4e9.1.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\Flash10e.ocx_0xc06e6e160f34ce092301bd2b29067f3f.2.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\Flash10e.ocx_0xc06e6e160f34ce092301bd2b29067f3f.2.manifest
<Текущая директория>\Data\local\stubexe\0x411302B8BB1A1330\MaskMyIP.exe.__tmp__ в <Текущая директория>\Data\local\stubexe\0x411302B8BB1A1330\MaskMyIP.exe
<Текущая директория>\Data\xsandbox.bin.__tmp__ в <Текущая директория>\Data\xsandbox.bin
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\FlashUtil10e.exe_0x678f50cbc5537150cfdcca7944130b6d.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\FlashUtil10e.exe_0x678f50cbc5537150cfdcca7944130b6d.1.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe_0xd576154bbda8bb8bf097a2597a79cb6b.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe_0xd576154bbda8bb8bf097a2597a79cb6b.1.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe.tmp_0x4afc3932f2e8fcd4999a106914981604.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe.tmp_0x4afc3932f2e8fcd4999a106914981604.1.manifest
%TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe.BAK_0x4afc3932f2e8fcd4999a106914981604.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x056B6DD7C6D89185\sxs\Manifests\MaskMyIP.exe.BAK_0x4afc3932f2e8fcd4999a106914981604.1.manifest

Сетевая активность:

Подключается к:

'localhost':1040
'cl#####.mask-myip.com':80
'st###.spoon.net':443

TCP:

Запросы HTTP GET:

http://cl#####.mask-myip.com/map/flag_short/.PNG
http://cl#####.mask-myip.com/update/?AC#######################################################################################################################################################################################################
http://cl#####.mask-myip.com/map/getinfo.php?Ma###########

UDP: