Trojan.DownLoader3.27920

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\SA.DAT

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\mtsodfdss] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\Macromadendt\cfmpsw.exe /service
<SYSTEM32>\Macromadendt\MsShellExt\fjmpsz.exe
<SYSTEM32>\NteofSys\Setup.exe 297

Запускает на исполнение:

<SYSTEM32>\at.exe 4:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 4:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 4:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 3:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 3:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 3:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 5:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 6:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 6:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 7:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 5:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 5:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 6:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 0:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\net1.exe start Schedule
<SYSTEM32>\at.exe 0:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\regsvr32.exe "<SYSTEM32>\NteofSys\StormPlayWeb.dll" /s
<SYSTEM32>\net1.exe start mtsodfdss
<SYSTEM32>\sc.exe config Schedule start= AUTO
<SYSTEM32>\at.exe 0:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 2:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 2:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 2:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 1:00 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 1:15 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"
<SYSTEM32>\at.exe 1:30 /every:M,T,W,Th,F,S,Su "<SYSTEM32>\Macromadendt\fjmpsz.exe"

Скрывает следующие процессы:

<SYSTEM32>\at.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\Macromadendt\MsShellExt\fxdapta.ini
<SYSTEM32>\NteofSys\tlk.dll
<SYSTEM32>\NteofSys\ntetask.txt
<SYSTEM32>\Macromadendt\MsShellExt\mseumdata.ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\gt[1].asp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ifcab[1].htm
<SYSTEM32>\NteofSys\mstdll.txt
<SYSTEM32>\NteofSys\StormPlayWeb.dll
<SYSTEM32>\NteofSys\Setup.exe
<SYSTEM32>\NteofSys\ntesys.ini
<SYSTEM32>\NteofSys\ntesvc.txt
<SYSTEM32>\NteofSys\ntemain.txt

Удаляет следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ifcab[1].htm
<SYSTEM32>\Macromadendt\MsShellExt\fxdapta.ini

Сетевая активность:

Подключается к:

'rw.###nline.info':80

TCP:

Запросы HTTP GET:

rw.###nline.info/page/gt.asp?ve#################################################################################################################################
rw.###nline.info/page/ifcab.htm

UDP: