Trojan.DownLoader13.33645

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Driver Intelligent AutoConnect' = '%APPDATA%\fvqqngrnaou\whqjvvayfts.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\fvqqngrnaou\nzzpxhcmd.exe' "%APPDATA%\fvqqngrnaou\whqjvvayfts.exe"
'%APPDATA%\fvqqngrnaou\whqjvvayfts.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\fvqqngrnaou\whqjvvayfts.evvr
%APPDATA%\fvqqngrnaou\nzzpxhcmd.exe
%APPDATA%\fvqqngrnaou\whqjvvayfts.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\fvqqngrnaou\whqjvvayfts.exe

Сетевая активность:

Подключается к:

'st####toward.net':80
'el####icwhite.net':80
'tr###toward.net':80
'tr####leasure.net':80
'st####pleasure.net':80
'el#####cpleasure.net':80
're####pleasure.net':80
're####million.net':80
're###dwhite.net':80
'el####icmillion.net':80
'be####pleasure.net':80
'ga####toward.net':80
'ga####pleasure.net':80
'ga####million.net':80
'be####million.net':80
'tr####illion.net':80
'st####million.net':80
'st###twhite.net':80
'be####toward.net':80
'tr###white.net':80
'ni####illion.net':80
'de####pleasure.net':80
'de####million.net':80
'de###ewhite.net':80
'ni###white.net':80
'do###white.net':80
'ag####twhite.net':80
'ni###toward.net':80
'ni####leasure.net':80
'de####toward.net':80
'la###white.net':80
'ca####nmillion.net':80
'ca####nwhite.net':80
'el####ictoward.net':80
're####toward.net':80
'ca####ntoward.net':80
'la###toward.net':80
'la####leasure.net':80
'la####illion.net':80
'ca####npleasure.net':80

TCP:

Запросы HTTP GET:

http://st####toward.net/index.php?em##############################################
http://el####icwhite.net/index.php?em##############################################
http://tr###toward.net/index.php?em##############################################
http://tr####leasure.net/index.php?em##############################################
http://st####pleasure.net/index.php?em##############################################
http://el#####cpleasure.net/index.php?em##############################################
http://re####pleasure.net/index.php?em##############################################
http://re####million.net/index.php?em##############################################
http://re###dwhite.net/index.php?em##############################################
http://el####icmillion.net/index.php?em##############################################
http://be####pleasure.net/index.php?em##############################################
http://ga####toward.net/index.php?em##############################################
http://ga####pleasure.net/index.php?em##############################################
http://ga####million.net/index.php?em##############################################
http://be####million.net/index.php?em##############################################
http://tr####illion.net/index.php?em##############################################
http://st####million.net/index.php?em##############################################
http://st###twhite.net/index.php?em##############################################
http://be####toward.net/index.php?em##############################################
http://tr###white.net/index.php?em##############################################
http://ni####illion.net/index.php?em##############################################
http://de####pleasure.net/index.php?em##############################################
http://de####million.net/index.php?em##############################################
http://de###ewhite.net/index.php?em##############################################
http://ni###white.net/index.php?em##############################################
http://do###white.net/index.php?em##############################################
http://ag####twhite.net/index.php?em##############################################
http://ni###toward.net/index.php?em##############################################
http://ni####leasure.net/index.php?em##############################################
http://de####toward.net/index.php?em##############################################
http://la###white.net/index.php?em##############################################
http://ca####nmillion.net/index.php?em##############################################
http://ca####nwhite.net/index.php?em##############################################
http://el####ictoward.net/index.php?em##############################################
http://re####toward.net/index.php?em##############################################
http://ca####ntoward.net/index.php?em##############################################
http://la###toward.net/index.php?em##############################################
http://la####leasure.net/index.php?em##############################################
http://la####illion.net/index.php?em##############################################
http://ca####npleasure.net/index.php?em##############################################