Trojan.DownLoader3.26584

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sxikihuvuw' = 'rundll32.exe "%WINDIR%\dutrcl32.dll",Startup'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\79531920] 'Name' = '"%TEMP%\5.tmp"'

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

Внедряет код в

следующие системные процессы:

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\sftkxkb[1].php
%TEMP%\arqy.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\pcppgk[1].php
%TEMP%\dwyrbl.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\jjnaeei[1].php
%TEMP%\pxih.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\cpptuxlpc[1].php
%TEMP%\bhfd.exe
%TEMP%\Rlb..bat
%TEMP%\750234914
%WINDIR%\itakubonerav.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\CAFYWBJH.php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\oyppct[1].php
%TEMP%\qhtuuxkq.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\gggklycc[1].php
%TEMP%\phlo.exe
%TEMP%\DivX_Codec.exe
%TEMP%\nsz3.tmp\ExecDos.dll
%TEMP%\DivX_Update.exe
%TEMP%\DivX_Setup.exe
%TEMP%\7za.exe
%TEMP%\nsn2.tmp
%APPDATA%\DivX_Installer.exe
%TEMP%\a1.7z
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\xxobo[1].php
%TEMP%\d.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\gqquulypp[1].php
%TEMP%\goyjf.exe
%TEMP%\b.vbs
%TEMP%\4.tmp
%WINDIR%\Temp\6.tmp
%WINDIR%\dutrcl32.dll

Удаляет следующие файлы:

Самоудаляется.

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

cc###lin.com/pxxko/oyppct.php?ad################################
cc###lin.com/pxxko/pcppgk.php?ad################################
cc###lin.com/pxxko/gggklycc.php?ad##############################################################
cc###lin.com/pxxko/iwwnnrvi.php?ad################################
cc###lin.com/pxxko/obcptx.php?ad################################
cc###lin.com/pxxko/gqquulypp.php?ad################################
cc###lin.com/pxxko/xxobo.php?ad################################
cc###lin.com/pxxko/jjnaeei.php?ad################################
cc###lin.com/pxxko/sftkxkb.php?ad################################
cc###lin.com/pxxko/cpptuxlpc.php?ad################################

Запросы HTTP POST:

br###tlegume.in/90ds8c9ds8c9d0s8cds.php?in##############################################################################################################

UDP: