Trojan.PWS.Panda.9827

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\1e6f17d9.exe
C:\1e6f17d9\1e6f17d9.exe

Сетевая активность:

Подключается к:

'we##gen.com':80
'mb####gcom.ucv.cl':80
'po#####oodenwindows.com':80
'gd.##b.ac.id':80
'tr##trac.it':80
'tr##s.pl':80
'ye####yatintadi.com':80
'xa###czl.com':80
'pe####.itu.edu.tr':80
'yy##st.com':80
'ke###-eg.com':80
'al.##.gov.br':80
'zo##man.com':80
'to#####orenonderzoek.nl':80
'ia###ngnok.com':80
'v9##1.net':80
'sh##s.cc':80
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'sa####donovaly.sk':80
'ke###lee.net':80
'ze####sterplus.ru':80
'we#######nthefrenchriviera.com':80
'op###uite.it':80
'ta##lu.com':80
'se###roy.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://po#####oodenwindows.com/tmp/JFwXS6.php?t=###############
http://ye####yatintadi.com/wp-content/plugins/wp-db-backup-made/0Kyc7k.php?d=###############
http://tr##s.pl/stara-strona-backup-20-08-2012/var/j4m502.php?o=###############
http://tr##s.pl/stara-strona-backup-20-08-2012/var/Srz7Vd.php?z=###############
http://we##gen.com/wp-content/plugins/wp-db-backup/h1X6p7.php?t=###############
http://mb####gcom.ucv.cl/wp-content/gallery/nSN1_Z.php?d=###############
http://xa###czl.com/wp-content/themes/zsqx/iRWgt3.php?s=###############
http://pe####.itu.edu.tr/wp/wp-content/plugins/wp-db-backup/94dXi5.php?x=###############
http://yy##st.com/wp-content/plugins/wp-db-backup-made/ZdOaXp.php?x=###############
http://ke###-eg.com/modules/mod_msn/juZPUi.php?i=###############
http://al.##.gov.br/cpi/telefonia/wp-content/themes/cpi/GcnPfu.php?u=###############
http://zo##man.com/wp-content/plugins/wp-db-backup1/BDEOY6.php?b=###############
http://tr##trac.it/wp-content/themes/twentyten/kPog6K.php?t=###############
http://sa####donovaly.sk/wp-content/plugins/wp_module/OdZhrT.php?l=###############
http://op###uite.it/wp-content/themes/lightweight/Y7rNkE.php?r=###############
http://ta##lu.com/wp-content/plugins/wp_module/sbML0j.php?a=###############
http://ia###ngnok.com/tmp/XmUk10.php?f=###############
http://v9##1.net/wp-content/themes/twentytwelve/H_S2xs.php?j=###############
http://sh##s.cc/wp-content/themes/twentytwelve/vnUN8e.php?p=###############
http://we#######nthefrenchriviera.com/wp-content/uploads/bcswkG.php?s=###############
http://to#####orenonderzoek.nl/wp-content/plugins/wp-db-backup-made/Xoeyqs.php?k=###############
http://gd.##b.ac.id/wp-content/uploads/iMhCqK.php?k=###############
http://se###roy.com/wp-content/plugins/wp-db-backup-made/BYA4Ks.php?y=###############
http://ke###lee.net/wp-content/uploads/2015/01/EqTf2Q.php?x=###############
http://ze####sterplus.ru/wp-content/themes/storefront-paper/WIhbkO.php?e=###############