Trojan.DownLoader13.34441

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Media Microsoft Virtual Font Auto' = '%APPDATA%\lhiowajme\mqmcglea.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\lhiowajme\otsvvmtu.exe' "%APPDATA%\lhiowajme\mqmcglea.exe"
'%APPDATA%\lhiowajme\mqmcglea.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\lhiowajme\mqmcglea.pwf
%APPDATA%\lhiowajme\otsvvmtu.exe
%APPDATA%\lhiowajme\mqmcglea.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\lhiowajme\mqmcglea.exe

Сетевая активность:

Подключается к:

'ni###butter.net':80
'de####behind.net':80
'de####butter.net':80
'ca#####understand.net':80
'la####nderstand.net':80
'de#####nderstand.net':80
'ni####nderstand.net':80
'ni###broad.net':80
'ni###behind.net':80
'de###ebroad.net':80
'la###broad.net':80
'el#####cunderstand.net':80
're#####nderstand.net':80
're###dbroad.net':80
're####behind.net':80
'el####icbroad.net':80
'la###behind.net':80
'ca####nbroad.net':80
'ca####nbehind.net':80
'ca####nbutter.net':80
'la###butter.net':80
'do###butter.net':80
'th###heart.net':80
'we####rbattle.net':80
'cl###heart.net':80
'cl####erfect.net':80
'th####erfect.net':80
'we####rperfect.net':80
'am####perfect.net':80
'am###tmayor.net':80
'am####battle.net':80
'we####rmayor.net':80
'th###mayor.net':80
'do###broad.net':80
'ag####tbroad.net':80
'ag####tbehind.net':80
'ag####tbutter.net':80
'do###behind.net':80
'th###battle.net':80
'cl###mayor.net':80
'cl###battle.net':80
'do####nderstand.net':80
'ag#####understand.net':80

TCP:

Запросы HTTP GET:

http://ni###butter.net/index.php?em#######################################
http://de####behind.net/index.php?em#######################################
http://de####butter.net/index.php?em#######################################
http://ca#####understand.net/index.php?em#######################################
http://la####nderstand.net/index.php?em#######################################
http://de#####nderstand.net/index.php?em#######################################
http://ni####nderstand.net/index.php?em#######################################
http://ni###broad.net/index.php?em#######################################
http://ni###behind.net/index.php?em#######################################
http://de###ebroad.net/index.php?em#######################################
http://la###broad.net/index.php?em#######################################
http://el#####cunderstand.net/index.php?em#######################################
http://re#####nderstand.net/index.php?em#######################################
http://re###dbroad.net/index.php?em#######################################
http://re####behind.net/index.php?em#######################################
http://el####icbroad.net/index.php?em#######################################
http://la###behind.net/index.php?em#######################################
http://ca####nbroad.net/index.php?em#######################################
http://ca####nbehind.net/index.php?em#######################################
http://ca####nbutter.net/index.php?em#######################################
http://la###butter.net/index.php?em#######################################
http://do###butter.net/index.php?em#######################################
http://th###heart.net/index.php?em#######################################
http://we####rbattle.net/index.php?em#######################################
http://cl###heart.net/index.php?em#######################################
http://cl####erfect.net/index.php?em#######################################
http://th####erfect.net/index.php?em#######################################
http://we####rperfect.net/index.php?em#######################################
http://am####perfect.net/index.php?em#######################################
http://am###tmayor.net/index.php?em#######################################
http://am####battle.net/index.php?em#######################################
http://we####rmayor.net/index.php?em#######################################
http://th###mayor.net/index.php?em#######################################
http://do###broad.net/index.php?em#######################################
http://ag####tbroad.net/index.php?em#######################################
http://ag####tbehind.net/index.php?em#######################################
http://ag####tbutter.net/index.php?em#######################################
http://do###behind.net/index.php?em#######################################
http://th###battle.net/index.php?em#######################################
http://cl###mayor.net/index.php?em#######################################
http://cl###battle.net/index.php?em#######################################
http://do####nderstand.net/index.php?em#######################################
http://ag#####understand.net/index.php?em#######################################