Trojan.DownLoader22.55076

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\Adobe Flash Player Updater.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\AdobeFlashPlayerUpdateSvc] 'ImagePath' = '<SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\Macromed\Flash\FlashUtil32_18_0_0_366_ActiveX.exe' -refreshIEElevationPolicies
'%TEMP%\InstallAX_18_0_0_366.exe' -install -msi
'<SYSTEM32>\cmd.exe' /c del "%TEMP%\InstallAX_18_0_0_366.exe" >> NUL
'<SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe' -install
'<SYSTEM32>\msiexec.exe' /i "%TEMP%\65100111981017010897\install_flash_player_18_active_x_esr.msi" /qn /norestart
'%TEMP%\cef3a887-bf1b-4060-ba66-9d307ab7cd22\AdobeFlashPlayer_18.0.0.366_ActiveX_SPS.exe' /S
'<SYSTEM32>\msiexec.exe' -Embedding 91AD20E95149C7855EC9331703E18671
'<SYSTEM32>\msiexec.exe' /V

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\Macromed\Temp\{B32C8217-8584-47A2-9024-DECCB2BF5211}\fpb.tmp
<SYSTEM32>\Macromed\Temp\{0B44FEC4-23D5-4CE1-9A87-E6B3DAF71D0B}\fpb.tmp
<SYSTEM32>\Macromed\Flash\FlashUtil32_18_0_0_366_ActiveX.exe
<SYSTEM32>\Macromed\Flash\Flash32_18_0_0_366.ocx
%TEMP%\InstallAX_18_0_0_366.exe
%TEMP%\CabD.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab11.tmp
%TEMP%\CabF.tmp
<SYSTEM32>\Macromed\Flash\FlashUtil32_18_0_0_366_ActiveX.dll
%WINDIR%\Installer\{401B651E-4CCC-4177-B16D-1B88EC9FDFB3}\ARPPRODUCTICON.exe
%WINDIR%\Installer\2f48b.msi
%WINDIR%\Installer\MSI14.tmp
%TEMP%\~DF2D41.tmp
<SYSTEM32>\Macromed\Flash\FlashPlayerUpdateService.exe
<SYSTEM32>\FlashPlayerCPLApp.cpl
<SYSTEM32>\Macromed\Flash\activex.vch
<SYSTEM32>\Macromed\Flash\FlashInstall.log
<SYSTEM32>\FlashPlayerApp.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%WINDIR%\Installer\2f487.msi
%TEMP%\cef3a887-bf1b-4060-ba66-9d307ab7cd22\AdobeFlashPlayer_18.0.0.366_ActiveX_SPS.exe
%WINDIR%\SecuniaPackage.log
%TEMP%\MSI2ece6.LOG
%TEMP%\65100111981017010897\install_flash_player_18_active_x_esr.msi
%TEMP%\Cab1.tmp
%TEMP%\~DF3013.tmp
%WINDIR%\Installer\2f489.ipi
C:\Config.Msi\2f48a.rbs
%WINDIR%\Installer\MSI9.tmp
%WINDIR%\Installer\MSI8.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab3.tmp
%TEMP%\{401B651E-4CCC-4177-B16D-1B88EC9FDFB3}\IsIllegalUpgrade.vbs
%WINDIR%\Installer\MSI7.tmp

Удаляет следующие файлы:

%WINDIR%\Installer\MSI9.tmp
C:\Config.Msi\2f48a.rbs
%TEMP%\InstallAX_18_0_0_366.exe
<SYSTEM32>\Macromed\Flash\flash.ocx
<SYSTEM32>\Macromed\Temp\{B32C8217-8584-47A2-9024-DECCB2BF5211}\fpb.tmp
%WINDIR%\Installer\2f489.ipi
%TEMP%\65100111981017010897\install_flash_player_18_active_x_esr.msi
%WINDIR%\Installer\2f487.msi
%TEMP%\{401B651E-4CCC-4177-B16D-1B88EC9FDFB3}\IsIllegalUpgrade.vbs
%WINDIR%\Installer\MSI14.tmp
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\MSI8.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab11.tmp
<SYSTEM32>\Macromed\Temp\{0B44FEC4-23D5-4CE1-9A87-E6B3DAF71D0B}\fpb.tmp
%TEMP%\CabF.tmp
%TEMP%\CabB.tmp
%TEMP%\CabD.tmp

Сетевая активность:

Подключается к:

'sw#.#ymcb.com':80
'fp######ad2.macromedia.com':80
'wp#d':80
'www.download.windowsupdate.com':80

TCP:

Запросы HTTP GET:

http://sw#.#ymcb.com/sw.crt
http://fp######ad2.macromedia.com/get/flashplayer/update/current/install/version.xml18.0.0.366~installVector=2&lang=en&cpuWordLength=32&playerType=ax&os=win&osVer=7
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: