Trojan.DownLoader13.10012

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Logs Software Event Port Engine Publication CNG' = '%APPDATA%\sxfgyxycfyfqvn\rdhzdkxhefq.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\sxfgyxycfyfqvn\cuwgxaseqafo.exe' "%APPDATA%\sxfgyxycfyfqvn\rdhzdkxhefq.exe"
'%APPDATA%\sxfgyxycfyfqvn\rdhzdkxhefq.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\sxfgyxycfyfqvn\rdhzdkxhefq.tf
%APPDATA%\sxfgyxycfyfqvn\cuwgxaseqafo.exe
%APPDATA%\sxfgyxycfyfqvn\rdhzdkxhefq.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\sxfgyxycfyfqvn\rdhzdkxhefq.exe

Сетевая активность:

Подключается к:

'th###built.net':80
'ch###built.net':80
'th###carry.net':80
'ch###carry.net':80
'th###apple.net':80
'ch###father.net':80
'be###gcarry.net':80
'ch###apple.net':80
'th###father.net':80
'wi###ncarry.net':80
'su###rbuilt.net':80
'ef####father.net':80
'su###rcarry.net':80
'wi###nbuilt.net':80
'su####father.net':80
'wi####father.net':80
'su###rapple.net':80
'wi###napple.net':80
'li###eapple.net':80
'de####yapple.net':80
'li###ebuilt.net':80
'de####ybuilt.net':80
'li####father.net':80
'jo####ycarry.net':80
'hu####dbuilt.net':80
'de####yfather.net':80
'hu####dcarry.net':80
'ri###nbuilt.net':80
'be###gapple.net':80
'ri###ncarry.net':80
'be###gbuilt.net':80
'ri###napple.net':80
'li###ecarry.net':80
'de####ycarry.net':80
'be####father.net':80
'ri####father.net':80

TCP:

Запросы HTTP GET:

http://th###built.net/index.php?em#####################################################
http://ch###built.net/index.php?em#####################################################
http://th###carry.net/index.php?em#####################################################
http://ch###carry.net/index.php?em#####################################################
http://th###apple.net/index.php?em#####################################################
http://ch###father.net/index.php?em#####################################################
http://be###gcarry.net/index.php?em#####################################################
http://ch###apple.net/index.php?em#####################################################
http://th###father.net/index.php?em#####################################################
http://wi###ncarry.net/index.php?em#####################################################
http://su###rbuilt.net/index.php?em#####################################################
http://ef####father.net/index.php?em#####################################################
http://su###rcarry.net/index.php?em#####################################################
http://wi###nbuilt.net/index.php?em#####################################################
http://su####father.net/index.php?em#####################################################
http://wi####father.net/index.php?em#####################################################
http://su###rapple.net/index.php?em#####################################################
http://wi###napple.net/index.php?em#####################################################
http://li###eapple.net/index.php?em#####################################################
http://de####yapple.net/index.php?em#####################################################
http://li###ebuilt.net/index.php?em#####################################################
http://de####ybuilt.net/index.php?em#####################################################
http://li####father.net/index.php?em#####################################################
http://jo####ycarry.net/index.php?em#####################################################
http://hu####dbuilt.net/index.php?em#####################################################
http://de####yfather.net/index.php?em#####################################################
http://hu####dcarry.net/index.php?em#####################################################
http://ri###nbuilt.net/index.php?em#####################################################
http://be###gapple.net/index.php?em#####################################################
http://ri###ncarry.net/index.php?em#####################################################
http://be###gbuilt.net/index.php?em#####################################################
http://ri###napple.net/index.php?em#####################################################
http://li###ecarry.net/index.php?em#####################################################
http://de####ycarry.net/index.php?em#####################################################
http://be####father.net/index.php?em#####################################################
http://ri####father.net/index.php?em#####################################################