Trojan.DownLoader8.64435

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\monn\Shell\Open\Command] '' = '"Rundll32.exe" "%WINDIR%\winfiles\infofile.icl" bcanrun'

Вредоносные функции:

Создает и запускает на исполнение:

'%WINDIR%\winfiles\KAV_97_10.exe'
'%TEMP%\is-8I725.tmp\<Имя вируса>.tmp' /SL5="$40036,885219,51712,<Полный путь к вирусу>"

Запускает на исполнение:

'%WINDIR%\explorer.exe' %ALLUSERSPROFILE%\Start Menu\Programs\Startup

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\si44[1]
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\log\uplive\klivesetup.log
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\hg.dat
%WINDIR%\winfiles\taobao.ico
%WINDIR%\winfiles\ucmon.monn
%WINDIR%\ucmon.lnk
%APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installerc2868903879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdone2869063879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2872963879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installdown2869063879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2536873879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installact2868903879.inf
%ALLUSERSPROFILE%\Application Data\kingsoft\kis\KCLT\common_duba_installer_antivirus2868903879.inf
%PROGRAM_FILES%\softguid\is-NL3HV.tmp
%PROGRAM_FILES%\softguid\is-P3RTA.tmp
%PROGRAM_FILES%\softguid\is-IAIC6.tmp
%TEMP%\is-5H0PI.tmp\InstallDll.dll
%TEMP%\is-8I725.tmp\<Имя вируса>.tmp
%TEMP%\is-5H0PI.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-5H0PI.tmp\_isetup\_shfoldr.dll
%PROGRAM_FILES%\softguid\unins000.dat
%WINDIR%\winfiles\KAV_97_10.exe
%WINDIR%\winfiles\rd.txt
%WINDIR%\winfiles\serverID.txt
%WINDIR%\winfiles\infofile.tmp
%WINDIR%\winfiles\Install.tmp
%WINDIR%\winfiles\Config.ini
%WINDIR%\winfiles\dsa.zzzzzzzzzzzzzzzzz

Удаляет следующие файлы:

%TEMP%\is-5H0PI.tmp\_isetup\_shfoldr.dll
%TEMP%\is-8I725.tmp\<Имя вируса>.tmp
%TEMP%\is-5H0PI.tmp\InstallDll.dll
%TEMP%\is-5H0PI.tmp\_isetup\_RegDLL.tmp

Перемещает следующие файлы:

%PROGRAM_FILES%\softguid\is-IAIC6.tmp в %PROGRAM_FILES%\softguid\Install.tmp
%PROGRAM_FILES%\softguid\is-P3RTA.tmp в %PROGRAM_FILES%\softguid\InstallDll.dll
%PROGRAM_FILES%\softguid\is-NL3HV.tmp в %PROGRAM_FILES%\softguid\unins000.exe

Сетевая активность:

Подключается к:

'wp#d':80
'crl.verisign.com':80
'in##.duba.net':80
'localhost':1036
'www.si##.com':80
'www.yi###anju.com':8080

TCP:

Запросы HTTP GET:

crl.verisign.com/pca3.crl
in##.duba.net/pagetracer4Unencrypt/duba/__utm.gif?ty######################################################################################################################################################################################
www.si##.com/
wp#d/wpad.dat

UDP: