Trojan.DownLoader13.33632

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Human Hardware Service Grouping Controls' = '%APPDATA%\vugzkwnugn\itmlquoj.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\vugzkwnugn\ecmhqmlqd.exe' "%APPDATA%\vugzkwnugn\itmlquoj.exe"
'%APPDATA%\vugzkwnugn\itmlquoj.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\vugzkwnugn\itmlquoj.mtkq
%APPDATA%\vugzkwnugn\ecmhqmlqd.exe
%APPDATA%\vugzkwnugn\itmlquoj.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\vugzkwnugn\ecmhqmlqd.exe
%APPDATA%\vugzkwnugn\itmlquoj.exe

Сетевая активность:

Подключается к:

'ni###white.net':80
'de###ewhite.net':80
'la###toward.net':80
'de####pleasure.net':80
'ni####illion.net':80
'de####million.net':80
'la####illion.net':80
'ca####nmillion.net':80
'la###white.net':80
'ca####ntoward.net':80
'la####leasure.net':80
'ca####npleasure.net':80
'ag####tpleasure.net':80
'do####leasure.net':80
'ag####tmillion.net':80
'se####garden.net':80
'ag####ttoward.net':80
'do###toward.net':80
'ni###toward.net':80
'de####toward.net':80
'ni####leasure.net':80
'do####illion.net':80
'ag####twhite.net':80
'do###white.net':80

TCP:

Запросы HTTP GET:

http://ni###white.net/index.php?em#########################################
http://de###ewhite.net/index.php?em#########################################
http://la###toward.net/index.php?em#########################################
http://de####pleasure.net/index.php?em#########################################
http://ni####illion.net/index.php?em#########################################
http://de####million.net/index.php?em#########################################
http://la####illion.net/index.php?em#########################################
http://ca####nmillion.net/index.php?em#########################################
http://la###white.net/index.php?em#########################################
http://ca####ntoward.net/index.php?em#########################################
http://la####leasure.net/index.php?em#########################################
http://ca####npleasure.net/index.php?em#########################################
http://ag####tpleasure.net/index.php?em#########################################
http://do####leasure.net/index.php?em#########################################
http://ag####tmillion.net/index.php?em#########################################
http://se####garden.net/index.php?em#########################################
http://ag####ttoward.net/index.php?em#########################################
http://do###toward.net/index.php?em#########################################
http://ni###toward.net/index.php?em#########################################
http://de####toward.net/index.php?em#########################################
http://ni####leasure.net/index.php?em#########################################
http://do####illion.net/index.php?em#########################################
http://ag####twhite.net/index.php?em#########################################
http://do###white.net/index.php?em#########################################