Trojan.DownLoader22.60020

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Software RPC Biometric Isolation IPsec Cache' = '%APPDATA%\zaavdmqot\jqyuxpkgno.exe'

Вредоносные функции:

Запускает на исполнение:

'%APPDATA%\zaavdmqot\b2phishesll.exe' "%APPDATA%\zaavdmqot\jqyuxpkgno.exe"
'%APPDATA%\zaavdmqot\jqyuxpkgno.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\zaavdmqot\jqyuxpkgno.qe
%APPDATA%\zaavdmqot\b2phishesll.exe
%APPDATA%\zaavdmqot\jqyuxpkgno.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\zaavdmqot\jqyuxpkgno.exe

Сетевая активность:

Подключается к:

'pa###behind.net':80
'fi###broad.net':80
'pa###butter.net':80
'fi###behind.net':80
'pa####nderstand.net':80
'sm###butter.net':80
'pa###broad.net':80
'fi####nderstand.net':80
'fi###butter.net':80
'ex####enceangry.net':80
'fr###angry.net':80
'ex#####ncearticle.net':80
'fr####rticle.net':80
'ex####encedried.net':80
'fr###dried.net':80
'ex#####ncefifteen.net':80
'fr####ifteen.net':80
'wa###broad.net':80
'th####tbroad.net':80
'wa###behind.net':80
'th####tbehind.net':80
'cr###butter.net':80
'su####butter.net':80
'wa####nderstand.net':80
'th#####understand.net':80
'th####tbutter.net':80
'wo###behind.net':80
'sm###broad.net':80
'wo###butter.net':80
'sm###behind.net':80
'wo####nderstand.net':80
'wa###butter.net':80
'wo###broad.net':80
'sm####nderstand.net':80

TCP:

Запросы HTTP GET:

http://pa###behind.net/index.php?em###########################################
http://fi###broad.net/index.php?em###########################################
http://pa###butter.net/index.php?em###########################################
http://fi###behind.net/index.php?em###########################################
http://pa####nderstand.net/index.php?em###########################################
http://sm###butter.net/index.php?em###########################################
http://pa###broad.net/index.php?em###########################################
http://fi####nderstand.net/index.php?em###########################################
http://fi###butter.net/index.php?em###########################################
http://ex####enceangry.net/index.php?em###########################################
http://fr###angry.net/index.php?em###########################################
http://ex#####ncearticle.net/index.php?em###########################################
http://fr####rticle.net/index.php?em###########################################
http://ex####encedried.net/index.php?em###########################################
http://fr###dried.net/index.php?em###########################################
http://ex#####ncefifteen.net/index.php?em###########################################
http://fr####ifteen.net/index.php?em###########################################
http://wa###broad.net/index.php?em###########################################
http://th####tbroad.net/index.php?em###########################################
http://wa###behind.net/index.php?em###########################################
http://th####tbehind.net/index.php?em###########################################
http://cr###butter.net/index.php?em###########################################
http://su####butter.net/index.php?em###########################################
http://wa####nderstand.net/index.php?em###########################################
http://th#####understand.net/index.php?em###########################################
http://th####tbutter.net/index.php?em###########################################
http://wo###behind.net/index.php?em###########################################
http://sm###broad.net/index.php?em###########################################
http://wo###butter.net/index.php?em###########################################
http://sm###behind.net/index.php?em###########################################
http://wo####nderstand.net/index.php?em###########################################
http://wa###butter.net/index.php?em###########################################
http://wo###broad.net/index.php?em###########################################
http://sm####nderstand.net/index.php?em###########################################