Trojan.DownLoader14.63473

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Portable Update Wired HomeGroup' = '%APPDATA%\olkrile\dszvahkb.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\olkrile\pxdjmzgsgwdu.exe' "%APPDATA%\olkrile\dszvahkb.exe"
'%APPDATA%\olkrile\dszvahkb.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\olkrile\dszvahkb.pq58o
%APPDATA%\olkrile\pxdjmzgsgwdu.exe
%APPDATA%\olkrile\dszvahkb.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\olkrile\dszvahkb.exe

Сетевая активность:

Подключается к:

're###tbrown.net':80
'br###nbrown.net':80
'br####people.net':80
'br####daughter.net':80
're####people.net':80
'fe####people.net':80
'do###ebrown.net':80
'fe####daughter.net':80
're###tready.net':80
'br###nready.net':80
're####daughter.net':80
'pr####edaughter.net':80
'de####people.net':80
'de####daughter.net':80
'st####thbrown.net':80
'st####thready.net':80
'de###eready.net':80
'pr####eready.net':80
'pr####ebrown.net':80
'pr####epeople.net':80
'de###ebrown.net':80
'st###people.net':80
'mi###brown.net':80
'mi###people.net':80
'mi####aughter.net':80
'st####aughter.net':80
'ev####gdaughter.net':80
'bu#####gdaughter.net':80
'st###ready.net':80
'st###brown.net':80
'mi###ready.net':80
'do###rready.net':80
'pr####daughter.net':80
'do####daughter.net':80
'fe###wready.net':80
'fe###wbrown.net':80
'do###eready.net':80
'do###rbrown.net':80
'pr###yready.net':80
'pr###ybrown.net':80
'pr####people.net':80
'do####people.net':80

TCP:

Запросы HTTP GET:

http://re###tbrown.net/index.php?em########################################
http://br###nbrown.net/index.php?em########################################
http://br####people.net/index.php?em########################################
http://br####daughter.net/index.php?em########################################
http://re####people.net/index.php?em########################################
http://fe####people.net/index.php?em########################################
http://do###ebrown.net/index.php?em########################################
http://fe####daughter.net/index.php?em########################################
http://re###tready.net/index.php?em########################################
http://br###nready.net/index.php?em########################################
http://re####daughter.net/index.php?em########################################
http://pr####edaughter.net/index.php?em########################################
http://de####people.net/index.php?em########################################
http://de####daughter.net/index.php?em########################################
http://st####thbrown.net/index.php?em########################################
http://st####thready.net/index.php?em########################################
http://de###eready.net/index.php?em########################################
http://pr####eready.net/index.php?em########################################
http://pr####ebrown.net/index.php?em########################################
http://pr####epeople.net/index.php?em########################################
http://de###ebrown.net/index.php?em########################################
http://st###people.net/index.php?em########################################
http://mi###brown.net/index.php?em########################################
http://mi###people.net/index.php?em########################################
http://mi####aughter.net/index.php?em########################################
http://st####aughter.net/index.php?em########################################
http://ev####gdaughter.net/index.php?em########################################
http://bu#####gdaughter.net/index.php?em########################################
http://st###ready.net/index.php?em########################################
http://st###brown.net/index.php?em########################################
http://mi###ready.net/index.php?em########################################
http://do###rready.net/index.php?em########################################
http://pr####daughter.net/index.php?em########################################
http://do####daughter.net/index.php?em########################################
http://fe###wready.net/index.php?em########################################
http://fe###wbrown.net/index.php?em########################################
http://do###eready.net/index.php?em########################################
http://do###rbrown.net/index.php?em########################################
http://pr###yready.net/index.php?em########################################
http://pr###ybrown.net/index.php?em########################################
http://pr####people.net/index.php?em########################################
http://do####people.net/index.php?em########################################