Trojan.DownLoader8.58275

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GoldenKeyTT21' = '<SYSTEM32>\Everyday21\Everyday21.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\USERINIT.EXE,'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'remote dbserver' = '<SYSTEM32>\Everyday21\realname\SMClient_RZX_XJ.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\Everyday21\Dll\Inserter.exe' <SYSTEM32>\Everyday21\Everyday21.exe {731D0D44-78B7-465E-9180-14FD405FEE43} {47EB12A0-A70B-4E45-9FD0-CE461FD7DCD0} 60
'<SYSTEM32>\Inserter.exe' <SYSTEM32>\mstwain2.dll explorer.exe
'<SYSTEM32>\Everyday21\realname\SMClient_RZX_XJ.exe'
'%TEMP%\irsetup.exe'
'<SYSTEM32>\Everyday21\EveryDay21.exe' nodownload

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE
<SYSTEM32>\winlogon.exe

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogoff' = '00000000'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1405' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2201' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1004' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1001' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1200' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1201' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\Everyday21\RegisterActiveX.ini
<SYSTEM32>\Everyday21\Url.ini
<SYSTEM32>\Monitor.exe
<SYSTEM32>\Everyday21\realname\TimeFromNet.dll
<SYSTEM32>\Everyday21\realname\SMClient_RZX_XJ.exe
<SYSTEM32>\Everyday21\guaji.ini
<SYSTEM32>\Everyday21\Res\none.gif
<SYSTEM32>\Everyday21\Res\net.jpg
<SYSTEM32>\Everyday21\Res\top.html
<SYSTEM32>\Everyday21\EveryDay21.exe
<SYSTEM32>\Everyday21\Res\xbok.gif
%WINDIR%\iun6002.exe
<SYSTEM32>\mstwain2.dll
<SYSTEM32>\Everyday21\Log\Everyday21_Log.Log
<SYSTEM32>\Inserter.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bottom[1].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\top2[1].html
%ALLUSERSPROFILE%\Start Menu\Programs\РВЅ®ИОЧУРРКµГыїН·ю¶Л\SMClient_RZX_XJ.exe.lnk
%PROGRAM_FILES%\РВЅ®ИОЧУРРКµГыїН·ю¶Л\irunin.lng
%PROGRAM_FILES%\РВЅ®ИОЧУРРКµГыїН·ю¶Л\irunin.dat
%PROGRAM_FILES%\РВЅ®ИОЧУРРКµГыїН·ю¶Л\irunin.bmp
%ALLUSERSPROFILE%\Start Menu\Programs\РВЅ®ИОЧУРРКµГыїН·ю¶Л\Р¶ФШ РВЅ®ИОЧУРРКµГыїН·ю¶Л.lnk
%PROGRAM_FILES%\РВЅ®ИОЧУРРКµГыїН·ю¶Л\irunin.ini
<SYSTEM32>\Everyday21\Dll\Inserter.exe
<SYSTEM32>\Everyday21\Call\webphone.dll
<SYSTEM32>\Everyday21\Dll\Msg.dll
<SYSTEM32>\Everyday21\Dll\RegOper.ocx
<SYSTEM32>\Everyday21\Dll\mstwain2.dll
%TEMP%\irsetup.ini
%TEMP%\irsetup.dat
%TEMP%\irsetup.exe
%TEMP%\suf6lng.4
%TEMP%\IRIMG2.BMP
%TEMP%\IRIMG1.BMP
<SYSTEM32>\Everyday21\Plugin\GuaJiDll.dll
<SYSTEM32>\Everyday21\Res\Center1.JPG
<SYSTEM32>\Everyday21\Res\bottom.JPG
<SYSTEM32>\Everyday21\Res\Leasing1.jpg
<SYSTEM32>\Everyday21\Res\net1.jpg
<SYSTEM32>\Everyday21\Res\Leasing.jpg
<SYSTEM32>\Everyday21\Res\bottom.html
<SYSTEM32>\Everyday21\Res\b1.gif
<SYSTEM32>\Everyday21\Res\3.JPG
<SYSTEM32>\Everyday21\Res\b2.gif
<SYSTEM32>\Everyday21\Res\BillPage.html
<SYSTEM32>\Everyday21\Res\b3.gif