Trojan.DownLoader13.34309

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Search Shell Grouping Thread' = '%APPDATA%\lrcjjxfziforwdr\qozjixwzc.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\lrcjjxfziforwdr\fhkcaybn.exe' "%APPDATA%\lrcjjxfziforwdr\qozjixwzc.exe"
'%APPDATA%\lrcjjxfziforwdr\qozjixwzc.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\lrcjjxfziforwdr\qozjixwzc.ajaw
%APPDATA%\lrcjjxfziforwdr\fhkcaybn.exe
%APPDATA%\lrcjjxfziforwdr\qozjixwzc.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\lrcjjxfziforwdr\qozjixwzc.exe

Сетевая активность:

Подключается к:

'pr####tmayor.net':80
'th###battle.net':80
'th###mayor.net':80
'th####erfect.net':80
'pr####tperfect.net':80
'pr####tbattle.net':80
'co####eperfect.net':80
'ch###mayor.net':80
'ch####erfect.net':80
'ch###heart.net':80
'co####eheart.net':80
'pr####theart.net':80
'cl###toward.net':80
'th####leasure.net':80
'th###toward.net':80
'am###twhite.net':80
'we####rwhite.net':80
'cl####leasure.net':80
'cl###white.net':80
'th###heart.net':80
'th###white.net':80
'th####illion.net':80
'cl####illion.net':80

TCP:

Запросы HTTP GET:

http://pr####tmayor.net/index.php?em###############################################
http://th###battle.net/index.php?em###############################################
http://th###mayor.net/index.php?em###############################################
http://th####erfect.net/index.php?em###############################################
http://pr####tperfect.net/index.php?em###############################################
http://pr####tbattle.net/index.php?em###############################################
http://co####eperfect.net/index.php?em###############################################
http://ch###mayor.net/index.php?em###############################################
http://ch####erfect.net/index.php?em###############################################
http://ch###heart.net/index.php?em###############################################
http://co####eheart.net/index.php?em###############################################
http://pr####theart.net/index.php?em###############################################
http://cl###toward.net/index.php?em###############################################
http://th####leasure.net/index.php?em###############################################
http://th###toward.net/index.php?em###############################################
http://am###twhite.net/index.php?em###############################################
http://we####rwhite.net/index.php?em###############################################
http://cl####leasure.net/index.php?em###############################################
http://cl###white.net/index.php?em###############################################
http://th###heart.net/index.php?em###############################################
http://th###white.net/index.php?em###############################################
http://th####illion.net/index.php?em###############################################
http://cl####illion.net/index.php?em###############################################