Trojan.DownLoader16.31565

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GuaZhuan' = '"<Полный путь к вирусу>" -autorun '

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\h1[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\MQ34H6PQ\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\15b0f07c07e4d2c60ddb5b2f96760ac81f0f05b9920f798817b98fe3a6b0a0dc8cd999853df0dc874fe91a412f5b7917040f1fb822902fd157837b4cb44e86...
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\MQ34H6PQ\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\h1[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\KDYJ4XQ7\f2[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\f2[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\MQ34H6PQ\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\h5[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\KDYJ4XQ7\CFGUpdate[1].5&checksum=&cid=A92826ADAC7F4350983FD4F6BBABBBD4&rd=22964
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\MQ34H6PQ\desktop.ini
%APPDATA%\LSinglePro\cfg.ini
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\index.dat
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\CFGUpdate[1].5&checksum=&cid=570C73306CEB4D87B9FDC146B104ABC2&rd=7518
%APPDATA%\LSinglePro\log.txt
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\KDYJ4XQ7\desktop.ini
%APPDATA%\LSinglePro\TFExecuter4\cfg.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\desktop.ini

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\MQ34H6PQ\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\KDYJ4XQ7\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\desktop.ini

Удаляет следующие файлы:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\MQ34H6PQ\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\h1[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6HGNO3MV\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\6D23KZIH\f8[1].htm

Сетевая активность:

Подключается к:

'ap#.#ap1000.com':8011
'ap#.##uliangbao.cn':80

TCP:

Запросы HTTP GET:

http://ap#.##uliangbao.cn/redirect/CFGUpdate?nu################################################################
http://ap#.##uliangbao.cn/clt/jobid/15b0f07c07e4d2c60ddb5b2f96760ac81f0f05b9920f798817b98fe3a6b0a0dc8cd999853df0dc874fe91a412f5b7917040f1fb822902fd157837b4cb44e868810d5731a542e7c051875653fe0732...
http://ap#.##uliangbao.cn/redirect/CFGUpdate?nu###############################################################

Запросы HTTP POST: