Trojan.DownLoader13.29373

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WWAN Shell AuthIP Application Reporting' = '%APPDATA%\ondptudzkgeoclw\dvhigygu.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\ondptudzkgeoclw\ohlryeqghh.exe' "%APPDATA%\ondptudzkgeoclw\dvhigygu.exe"
'%APPDATA%\ondptudzkgeoclw\dvhigygu.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ondptudzkgeoclw\dvhigygu.aw
%APPDATA%\ondptudzkgeoclw\ohlryeqghh.exe
%APPDATA%\ondptudzkgeoclw\dvhigygu.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\ondptudzkgeoclw\dvhigygu.exe

Сетевая активность:

Подключается к:

'he###nangry.net':80
'le###rangry.net':80
'le####article.net':80
'ge###edried.net':80
'he####article.net':80
'le###rdried.net':80
're####earticle.net':80
'he###ndried.net':80
'he####fifteen.net':80
'le####fifteen.net':80
'ge####fifteen.net':80
'va####sangry.net':80
're####fifteen.net':80
're###nangry.net':80
're####article.net':80
'va####sarticle.net':80
'ge####article.net':80
'ge###eangry.net':80
'va####sdried.net':80
'va####sfifteen.net':80
're###ndried.net':80
'or####rticle.net':80
'he####rticle.net':80
'di#####ltarticle.net':80
'pl####ntdried.net':80
'pl####ntfifteen.net':80
'ne####arydried.net':80
'di#####ltfifteen.net':80
'he###dried.net':80
'he####ifteen.net':80
'he###angry.net':80
'di####ultangry.net':80
'ne#####ryfifteen.net':80
'or####ifteen.net':80
're####edried.net':80
're####efifteen.net':80
're####eangry.net':80
'or###angry.net':80
'ne####aryangry.net':80
'pl####ntangry.net':80
'pl####ntarticle.net':80
'or###dried.net':80
'ne#####ryarticle.net':80

TCP:

Запросы HTTP GET:

http://he###nangry.net/index.php?em###########################################
http://le###rangry.net/index.php?em###########################################
http://le####article.net/index.php?em###########################################
http://ge###edried.net/index.php?em###########################################
http://he####article.net/index.php?em###########################################
http://le###rdried.net/index.php?em###########################################
http://re####earticle.net/index.php?em###########################################
http://he###ndried.net/index.php?em###########################################
http://he####fifteen.net/index.php?em###########################################
http://le####fifteen.net/index.php?em###########################################
http://ge####fifteen.net/index.php?em###########################################
http://va####sangry.net/index.php?em###########################################
http://re####fifteen.net/index.php?em###########################################
http://re###nangry.net/index.php?em###########################################
http://re####article.net/index.php?em###########################################
http://va####sarticle.net/index.php?em###########################################
http://ge####article.net/index.php?em###########################################
http://ge###eangry.net/index.php?em###########################################
http://va####sdried.net/index.php?em###########################################
http://va####sfifteen.net/index.php?em###########################################
http://re###ndried.net/index.php?em###########################################
http://or####rticle.net/index.php?em###########################################
http://he####rticle.net/index.php?em###########################################
http://di#####ltarticle.net/index.php?em###########################################
http://pl####ntdried.net/index.php?em###########################################
http://pl####ntfifteen.net/index.php?em###########################################
http://ne####arydried.net/index.php?em###########################################
http://di#####ltfifteen.net/index.php?em###########################################
http://he###dried.net/index.php?em###########################################
http://he####ifteen.net/index.php?em###########################################
http://he###angry.net/index.php?em###########################################
http://di####ultangry.net/index.php?em###########################################
http://ne#####ryfifteen.net/index.php?em###########################################
http://or####ifteen.net/index.php?em###########################################
http://re####edried.net/index.php?em###########################################
http://re####efifteen.net/index.php?em###########################################
http://re####eangry.net/index.php?em###########################################
http://or###angry.net/index.php?em###########################################
http://ne####aryangry.net/index.php?em###########################################
http://pl####ntangry.net/index.php?em###########################################
http://pl####ntarticle.net/index.php?em###########################################
http://or###dried.net/index.php?em###########################################
http://ne#####ryarticle.net/index.php?em###########################################