Trojan.DownLoader15.47975

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Machine Endpoint IPsec Locator WMI Keying' = '%APPDATA%\ekhmgxkgvlqgtz\khjvxwhhv.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\ekhmgxkgvlqgtz\puonawbwd.exe' "%APPDATA%\ekhmgxkgvlqgtz\khjvxwhhv.exe"
'%APPDATA%\ekhmgxkgvlqgtz\khjvxwhhv.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ekhmgxkgvlqgtz\khjvxwhhv.stuc
%APPDATA%\ekhmgxkgvlqgtz\puonawbwd.exe
%APPDATA%\ekhmgxkgvlqgtz\khjvxwhhv.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\ekhmgxkgvlqgtz\puonawbwd.exe
%APPDATA%\ekhmgxkgvlqgtz\khjvxwhhv.exe

Сетевая активность:

Подключается к:

'th####tbefore.net':80
'wa###before.net':80
'th####tdevice.net':80
'wa###device.net':80
'wo####anguage.net':80
'sm####anguage.net':80
'wo###settle.net':80
'sm###settle.net':80
'wa####anguage.net':80
'cr###device.net':80
'su####before.net':80
'cr####anguage.net':80
'su####device.net':80
'wa###settle.net':80
'th####tlanguage.net':80
'cr###before.net':80
'th####tsettle.net':80
'fi###before.net':80
'fr###found.net':80
'fi###device.net':80
'pa###before.net':80
'ex#####ncespring.net':80
'fr####uccess.net':80
'ex####encefound.net':80
'fr###spring.net':80
'pa###device.net':80
'wo###before.net':80
'sm###before.net':80
'wo###device.net':80
'sm###device.net':80
'pa####anguage.net':80
'fi####anguage.net':80
'pa###settle.net':80
'fi###settle.net':80
'su####language.net':80
'al####ylanguage.net':80
'ge####mandevice.net':80
'al####ysettle.net':80
'ge#####anlanguage.net':80
'al####ybefore.net':80
'fo####settle.net':80
'al####ydevice.net':80
'ge####manbefore.net':80
'ge####mansettle.net':80
'fr####anguage.net':80
'ex#####ncelanguage.net':80
'fr###settle.net':80
'ex#####ncesettle.net':80
'fr###before.net':80
'ex#####ncebefore.net':80
'fr###device.net':80
'ex#####ncedevice.net':80
'be###device.net':80
'kn###device.net':80
'be####anguage.net':80
'kn####anguage.net':80
'su####settle.net':80
'cr###settle.net':80
'be###before.net':80
'kn###before.net':80
'kn###settle.net':80
'me####language.net':80
'fo####device.net':80
'me####settle.net':80
'fo####language.net':80
'me####before.net':80
'be###settle.net':80
'me####device.net':80
'fo####before.net':80

TCP:

Запросы HTTP GET:

http://th####tbefore.net/index.php?em#####################################
http://wa###before.net/index.php?em#####################################
http://th####tdevice.net/index.php?em#####################################
http://wa###device.net/index.php?em#####################################
http://wo####anguage.net/index.php?em#####################################
http://sm####anguage.net/index.php?em#####################################
http://wo###settle.net/index.php?em#####################################
http://sm###settle.net/index.php?em#####################################
http://wa####anguage.net/index.php?em#####################################
http://cr###device.net/index.php?em#####################################
http://su####before.net/index.php?em#####################################
http://cr####anguage.net/index.php?em#####################################
http://su####device.net/index.php?em#####################################
http://wa###settle.net/index.php?em#####################################
http://th####tlanguage.net/index.php?em#####################################
http://cr###before.net/index.php?em#####################################
http://th####tsettle.net/index.php?em#####################################
http://fi###before.net/index.php?em#####################################
http://fr###found.net/index.php?em#####################################
http://fi###device.net/index.php?em#####################################
http://pa###before.net/index.php?em#####################################
http://ex#####ncespring.net/index.php?em#####################################
http://fr####uccess.net/index.php?em#####################################
http://ex####encefound.net/index.php?em#####################################
http://fr###spring.net/index.php?em#####################################
http://pa###device.net/index.php?em#####################################
http://wo###before.net/index.php?em#####################################
http://sm###before.net/index.php?em#####################################
http://wo###device.net/index.php?em#####################################
http://sm###device.net/index.php?em#####################################
http://pa####anguage.net/index.php?em#####################################
http://fi####anguage.net/index.php?em#####################################
http://pa###settle.net/index.php?em#####################################
http://fi###settle.net/index.php?em#####################################
http://su####language.net/index.php?em#####################################
http://al####ylanguage.net/index.php?em#####################################
http://ge####mandevice.net/index.php?em#####################################
http://al####ysettle.net/index.php?em#####################################
http://ge#####anlanguage.net/index.php?em#####################################
http://al####ybefore.net/index.php?em#####################################
http://fo####settle.net/index.php?em#####################################
http://al####ydevice.net/index.php?em#####################################
http://ge####manbefore.net/index.php?em#####################################
http://ge####mansettle.net/index.php?em#####################################
http://fr####anguage.net/index.php?em#####################################
http://ex#####ncelanguage.net/index.php?em#####################################
http://fr###settle.net/index.php?em#####################################
http://ex#####ncesettle.net/index.php?em#####################################
http://fr###before.net/index.php?em#####################################
http://ex#####ncebefore.net/index.php?em#####################################
http://fr###device.net/index.php?em#####################################
http://ex#####ncedevice.net/index.php?em#####################################
http://be###device.net/index.php?em#####################################
http://kn###device.net/index.php?em#####################################
http://be####anguage.net/index.php?em#####################################
http://kn####anguage.net/index.php?em#####################################
http://su####settle.net/index.php?em#####################################
http://cr###settle.net/index.php?em#####################################
http://be###before.net/index.php?em#####################################
http://kn###before.net/index.php?em#####################################
http://kn###settle.net/index.php?em#####################################
http://me####language.net/index.php?em#####################################
http://fo####device.net/index.php?em#####################################
http://me####settle.net/index.php?em#####################################
http://fo####language.net/index.php?em#####################################
http://me####before.net/index.php?em#####################################
http://be###settle.net/index.php?em#####################################
http://me####device.net/index.php?em#####################################
http://fo####before.net/index.php?em#####################################

UDP:

DNS ASK th####tbefore.net
DNS ASK wa###before.net
DNS ASK th####tdevice.net
DNS ASK wa###device.net
DNS ASK wo####anguage.net
DNS ASK sm####anguage.net
DNS ASK wo###settle.net
DNS ASK sm###settle.net
DNS ASK wa####anguage.net
DNS ASK cr###device.net
DNS ASK su####before.net
DNS ASK cr####anguage.net
DNS ASK su####device.net
DNS ASK wa###settle.net
DNS ASK th####tlanguage.net
DNS ASK cr###before.net
DNS ASK th####tsettle.net
DNS ASK fi###before.net
DNS ASK fr###found.net
DNS ASK fi###device.net
DNS ASK pa###before.net
DNS ASK ex#####ncespring.net
DNS ASK fr####uccess.net
DNS ASK ex####encefound.net
DNS ASK fr###spring.net
DNS ASK pa###device.net
DNS ASK wo###before.net
DNS ASK sm###before.net
DNS ASK wo###device.net
DNS ASK sm###device.net
DNS ASK pa####anguage.net
DNS ASK fi####anguage.net
DNS ASK pa###settle.net
DNS ASK fi###settle.net
DNS ASK su####language.net
DNS ASK al####ylanguage.net
DNS ASK ge####mandevice.net
DNS ASK al####ysettle.net
DNS ASK ge#####anlanguage.net
DNS ASK al####ybefore.net
DNS ASK fo####settle.net
DNS ASK al####ydevice.net
DNS ASK ge####manbefore.net
DNS ASK ge####mansettle.net
DNS ASK fr####anguage.net
DNS ASK ex#####ncelanguage.net
DNS ASK fr###settle.net
DNS ASK ex#####ncesettle.net
DNS ASK fr###before.net
DNS ASK ex#####ncebefore.net
DNS ASK fr###device.net
DNS ASK ex#####ncedevice.net
DNS ASK be###device.net
DNS ASK kn###device.net
DNS ASK be####anguage.net
DNS ASK kn####anguage.net
DNS ASK su####settle.net
DNS ASK cr###settle.net
DNS ASK be###before.net
DNS ASK kn###before.net
DNS ASK kn###settle.net
DNS ASK me####language.net
DNS ASK fo####device.net
DNS ASK me####settle.net
DNS ASK fo####language.net
DNS ASK me####before.net
DNS ASK be###settle.net
DNS ASK me####device.net
DNS ASK fo####before.net

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней