Trojan.DownLoader3.39441

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
[<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ws7s' = '%APPDATA%\zf2c.exe'
[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\2161269712] 'Name' = '"%TEMP%\5.tmp"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sxikihuvuw' = 'rundll32.exe "%WINDIR%\msrevcf.dll",Startup'

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

%APPDATA%\zf2c.exe -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
"%TEMP%\ukrycny.exe" (загружен из сети Интернет)
"%TEMP%\nohfx.exe" (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\runonce.exe -r
<SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
<SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\rundll32.exe "%WINDIR%\msrevcf.dll",iep
<SYSTEM32>\grpconv.exe -o
<SYSTEM32>\cmd.exe /c "%APPDATA%\ldslfovj.bat"
<SYSTEM32>\net1.exe stop "Security Center"
<SYSTEM32>\net.exe stop "Security Center"
<SYSTEM32>\svchost.exe
<SYSTEM32>\rundll32.exe "%WINDIR%\msrevcf.dll",Startup
<SYSTEM32>\sc.exe config SharedAccess start= DISABLED
<SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
<SYSTEM32>\sc.exe config wscsvc start= DISABLED

Внедряет код в

следующие системные процессы:

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\cpbdrxur.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\sjwxkob[1].php
%TEMP%\yttwulhw.exe
%TEMP%\ukrycny.exe
%APPDATA%\zf2c.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\oobbff[1].php
%TEMP%\Rlb..bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\CA9SK3D5.php
%WINDIR%\axokuxiyayidad.dll
%APPDATA%\MouseDriver.bat
%APPDATA%\mdinstall.inf
%APPDATA%\ldslfovj.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\dnnrvriqm[1].php
%TEMP%\nsp3.tmp\2IC.exe
%TEMP%\nsp3.tmp\3E4U - Bucks.exe
%TEMP%\nsp3.tmp\6tbp.exe
%TEMP%\nse2.tmp
%TEMP%\nsp3.tmp\taskmgr.exe
%TEMP%\nsp3.tmp\1EuroP.exe
%WINDIR%\Temp\6.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\nnbrswmqa[1].php
%TEMP%\nohfx.exe
%TEMP%\nsp3.tmp\IR.exe
%WINDIR%\msrevcf.dll
%TEMP%\4.tmp