Trojan.DownLoader17.18588

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\1e6f17d9.exe
C:\1e6f17d9\1e6f17d9.exe

Сетевая активность:

Подключается к:

'by###rders.com':80
'de####telymale.com':80
'br######gmentationnow.com':80
'pc#####gkeyboards.com':80
'ec###sehair.com':80
'de####illo.com.mx':80
'de##.###international.com':80
'do#######ketingporinternet.com':80
'ge####letsnow.com':80
'fo##be.ru':80
'la.##npac.com':80
'el######ngempresarial.com':80
'pi##s.nl':80
'hu###kusagi.com':80
'kh####iaorder.com':80
'di#####ion.ardinova.com':80
'ao##23.com':80
'ka####eservat.com':80
'el####asonsmith.com':80
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'wa#####mgespokane.us':80
'fu#####rerowstores.com':80
'ja####eagher.com':80
'ma########alianzasestrategicas.com':80
'cl######.#utorepuestopalacios.com':80
'he#####airmasters.com':80
'ge####llardart.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://by###rders.com/2.php?b=###############
http://de####telymale.com/wp-content/cache/supercache/definitelymale.com/2.php?p=###############
http://br######gmentationnow.com/wp-content/plugins/contact-form-7/languages/2.php?l=###############
http://de####illo.com.mx/himnofjr/2.php?e=###############
http://de##.###international.com/2.php?g=###############
http://pc#####gkeyboards.com/wp-content/plugins/wordpress-seo/vendor/composer/installers/tests/Composer/5.php?w=###############
http://el######ngempresarial.com/wp-admin/user/2.php?s=###############
http://do#######ketingporinternet.com/wp-admin/user/2.php?g=###############
http://ge####letsnow.com/wp-content/pep-vn/static-vars/3.php?r=###############
http://fo##be.ru/wp-content/plugins/wp-super-popup/tiny_mce/themes/advanced/skins/o2k7/4.php?s=###############
http://pi##s.nl/test/wp-content/plugins/userpro/addons/redirects/admin/scripts/5.php?z=###############
http://hu###kusagi.com/wp-includes/SimplePie/Net/3.php?n=###############
http://la.##npac.com/img/3.php?g=###############
http://ka####eservat.com/wp-content/plugins/js_composer/assets/lib/vcIconPicker/themes/grey-theme/5.php?g=###############
http://cl######.#utorepuestopalacios.com/images/articulos/2.php?v=###############
http://he#####airmasters.com/Demo_Preliminar_helths/wc-logs/3.php?a=###############
http://el####asonsmith.com/wp-content/plugins/wp-hide-post/2.php?r=###############
http://di#####ion.ardinova.com/wp-admin/images/screenshots/2.php?a=###############
http://ao##23.com/gsqgu/.f6e2634/1.php?a=###############
http://ge####llardart.com/wp-admin/network/3.php?m=###############
http://ja####eagher.com/nextgen-gallery/products/photocrati_nextgen/modules/wpcli/3.php?d=###############
http://kh####iaorder.com/wp-includes/SimplePie/Cache/3.php?g=###############
http://ec###sehair.com/2.php?v=###############
http://ma########alianzasestrategicas.com/wp-admin/user/3.php?y=###############
http://wa#####mgespokane.us/wp-content/cache/supercache/waterdamgespokane.us/2014/08/1.php?z=###############
http://fu#####rerowstores.com/wp-content/plugins/backupbuddy/backupbuddy/views/settings/3.php?c=###############