Trojan.DownLoader16.7387

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Extender Class BitLocker Hardware' = '<SYSTEM32>\nvncpumvttoo.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Firewall Tools Authentication] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'%WINDIR%\Temp\zbtmjky2uwfewbwu.exe' -r 26303 tcp
'%WINDIR%\Temp\zbtmjky48hlewbwu.exe' -r 42189 tcp
'<SYSTEM32>\enhekfamy.exe' "<SYSTEM32>\nvncpumvttoo.exe"
'%TEMP%\zbtmjky2muxewbwuwvptevsj.exe'
'<SYSTEM32>\nvncpumvttoo.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\wldzaunyiimk\run
<SYSTEM32>\wldzaunyiimk\rng
<SYSTEM32>\wldzaunyiimk\cfg
%WINDIR%\Temp\zbtmjky48hlewbwu.exe
%WINDIR%\Temp\zbtmjky2uwfewbwu.exe
%TEMP%\zbtmjky2muxewbwuwvptevsj.exe
<SYSTEM32>\wldzaunyiimk\tst
<SYSTEM32>\wldzaunyiimk\etc
<SYSTEM32>\enhekfamy.exe
<SYSTEM32>\nvncpumvttoo.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\enhekfamy.exe
<SYSTEM32>\nvncpumvttoo.exe

Удаляет следующие файлы:

%WINDIR%\Temp\zbtmjky2uwfewbwu.exe
%WINDIR%\Temp\zbtmjky48hlewbwu.exe
%TEMP%\zbtmjky2muxewbwuwvptevsj.exe
<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'we###all.net':80
'fa###een.net':80
'we###ook.net':80
've###all.net':80
'to###een.net':80
'fa###ook.net':80
'to###ook.net':80
'fa###ext.net':80
'to###ext.net':80
'mu###all.net':80
'pi###tall.net':80
'mu###ook.net':80
'pi###cook.net':80
've###een.net':80
'we###ext.net':80
've###ook.net':80
'we###een.net':80
've###ext.net':80
'fa###all.net':80
'na###here.net':80
'mo###next.net':80
'de####erknew.net':80
'st###ocean.net':80
'lo###old.net':80
'mu###appy.net':80
'ab###ead.net':80
'ca###ile.net':80
'fe###tate.net':80
'se###been.net':80
'eg###aker.com':80
'to###all.net':80
'le###been.net':80
'na###eep.com':80
'fr###yloss.net':80
'mo###gray.net':80
'wa###ord.net':80
'bo###lain.net':80

TCP:

Запросы HTTP GET:

http://we###all.net/index.php?me################################################
http://fa###een.net/index.php?me################################################
http://we###ook.net/index.php?me################################################
http://ve###all.net/index.php?me################################################
http://to###een.net/index.php?me################################################
http://fa###ook.net/index.php?me################################################
http://to###ook.net/index.php?me################################################
http://fa###ext.net/index.php?me################################################
http://to###ext.net/index.php?me################################################
http://mu###all.net/index.php?me################################################
http://pi###tall.net/index.php?me################################################
http://mu###ook.net/index.php?me################################################
http://pi###cook.net/index.php?me################################################
http://ve###een.net/index.php?me################################################
http://we###ext.net/index.php?me################################################
http://ve###ook.net/index.php?me################################################
http://we###een.net/index.php?me################################################
http://ve###ext.net/index.php?me################################################
http://fa###all.net/index.php?me################################################
http://na###here.net/index.php?me################################################
http://mo###next.net/index.php?me################################################
http://de####erknew.net/index.php?me################################################
http://st###ocean.net/index.php?me################################################
http://lo###old.net/index.php?me################################################
http://mu###appy.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://ca###ile.net/index.php?me################################################
http://fe###tate.net/index.php?me################################################
http://se###been.net/index.php?me################################################
http://eg###aker.com/index.php?me################################################
http://to###all.net/index.php?me################################################
http://le###been.net/index.php?me################################################
http://na###eep.com/index.php?me################################################
http://fr###yloss.net/index.php?me################################################
http://mo###gray.net/index.php?me################################################
http://wa###ord.net/index.php?me################################################
http://bo###lain.net/index.php?me################################################