Trojan.DownLoader13.37711

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Isolation Peer HomeGroup Server Cryptographic' = '%APPDATA%\zhqvvxnvnao\qtbiwvmwxzd.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\zhqvvxnvnao\nidsdxp.exe' "%APPDATA%\zhqvvxnvnao\qtbiwvmwxzd.exe"
'%APPDATA%\zhqvvxnvnao\qtbiwvmwxzd.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\zhqvvxnvnao\qtbiwvmwxzd.tc
%APPDATA%\zhqvvxnvnao\nidsdxp.exe
%APPDATA%\zhqvvxnvnao\qtbiwvmwxzd.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\zhqvvxnvnao\qtbiwvmwxzd.exe

Сетевая активность:

Подключается к:

'be####method.net':80
'tr####rought.net':80
'be####action.net':80
'ga####method.net':80
'st####brought.net':80
'tr###action.net':80
'st####action.net':80
'tr###direct.net':80
'st####direct.net':80
'ga####action.net':80
'fl###action.net':80
'br###method.net':80
'fl###direct.net':80
'br###action.net':80
'fl###method.net':80
'ga####direct.net':80
'be####direct.net':80
'ga####brought.net':80
'be####brought.net':80
'tr###method.net':80
'la###direct.net':80
'ca####naction.net':80
'la####rought.net':80
'ca####ndirect.net':80
'la###action.net':80
'de####brought.net':80
'ni####rought.net':80
'ca####nmethod.net':80
'la###method.net':80
'ca####nbrought.net':80
're####brought.net':80
'el####icdirect.net':80
'st####method.net':80
'el####icbrought.net':80
're####direct.net':80
'el####icmethod.net':80
're####method.net':80
'el####icaction.net':80
're####action.net':80

TCP:

Запросы HTTP GET:

http://be####method.net/index.php?em################################################
http://tr####rought.net/index.php?em################################################
http://be####action.net/index.php?em################################################
http://ga####method.net/index.php?em################################################
http://st####brought.net/index.php?em################################################
http://tr###action.net/index.php?em################################################
http://st####action.net/index.php?em################################################
http://tr###direct.net/index.php?em################################################
http://st####direct.net/index.php?em################################################
http://ga####action.net/index.php?em################################################
http://fl###action.net/index.php?em################################################
http://br###method.net/index.php?em################################################
http://fl###direct.net/index.php?em################################################
http://br###action.net/index.php?em################################################
http://fl###method.net/index.php?em################################################
http://ga####direct.net/index.php?em################################################
http://be####direct.net/index.php?em################################################
http://ga####brought.net/index.php?em################################################
http://be####brought.net/index.php?em################################################
http://tr###method.net/index.php?em################################################
http://la###direct.net/index.php?em################################################
http://ca####naction.net/index.php?em################################################
http://la####rought.net/index.php?em################################################
http://ca####ndirect.net/index.php?em################################################
http://la###action.net/index.php?em################################################
http://de####brought.net/index.php?em################################################
http://ni####rought.net/index.php?em################################################
http://ca####nmethod.net/index.php?em################################################
http://la###method.net/index.php?em################################################
http://ca####nbrought.net/index.php?em################################################
http://re####brought.net/index.php?em################################################
http://el####icdirect.net/index.php?em################################################
http://st####method.net/index.php?em################################################
http://el####icbrought.net/index.php?em################################################
http://re####direct.net/index.php?em################################################
http://el####icmethod.net/index.php?em################################################
http://re####method.net/index.php?em################################################
http://el####icaction.net/index.php?em################################################
http://re####action.net/index.php?em################################################