Trojan.DownLoader23.11279

Добавлен в вирусную базу Dr.Web: 2016-11-08

Описание добавлено: 2016-11-08

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Adaptive Shadow Config Card' = '<SYSTEM32>\hnkxnitxx.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Routing Service Human Registry] 'ImagePath' = '<SYSTEM32>\hnkxnitxx.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\Routing Service Human Registry] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Запускает на исполнение:

'<SYSTEM32>\xcakolcxztrw.exe' "<SYSTEM32>\hnkxnitxx.exe"
'%WINDIR%\Temp\zylfoc32etz2.exe' -r 26442 tcp
'%TEMP%\zylfoc2qb2z2i0fdoj.exe'
'<SYSTEM32>\hnkxnitxx.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\cdfplafiao\run
<SYSTEM32>\cdfplafiao\rng
%WINDIR%\Temp\zylfoc32etz2.exe
<SYSTEM32>\cdfplafiao\cfg
<SYSTEM32>\xcakolcxztrw.exe
%TEMP%\zylfoc2qb2z2i0fdoj.exe
<SYSTEM32>\cdfplafiao\tst
<SYSTEM32>\hnkxnitxx.exe
<SYSTEM32>\cdfplafiao\etc

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\xcakolcxztrw.exe
<SYSTEM32>\hnkxnitxx.exe

Удаляет следующие файлы:

%WINDIR%\Temp\zylfoc32etz2.exe
<DRIVERS>\etc\hosts
%TEMP%\zylfoc2qb2z2i0fdoj.exe

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'mo###are.net':80
'su###ydance.net':80
'th###ell.net':80
'su###ydare.net':80
'mo###ance.net':80
'su###ytell.net':80
'mo###ell.net':80
'su###ybody.net':80
'mo###ody.net':80
'qu###dare.net':80
'th###are.net':80
'ca###ell.net':80
'he###ell.net':80
'qu###dance.net':80
'th###ody.net':80
'qu###tell.net':80
'th###ance.net':80
'qu###body.net':80
'me###are.net':80
'cl###body.net':80
'da###ody.net':80
'cl###dance.net':80
'da###ance.net':80
'cl###tell.net':80
'tr###feel.net':80
'mi###igh.net':80
'da###ell.net':80
'mi###eel.net':80
'si###ance.net':80
'me###ody.net':80
'si###are.net':80
'me###ance.net':80
'si###ody.net':80
'cl###dare.net':80
'da###are.net':80
'me###ell.net':80
'si###ell.net':80
'mi###ody.net':80
'tr###body.net':80
'mi###ance.net':80
'tr###dance.net':80
'mi###ell.net':80
'du###are.net':80
'wi###ance.net':80
'tr###tell.net':80
'wi###are.net':80
'be##lxc.com':80
'de###lxc.com':80
'ri###nstorm.net':80
'af###sllc.com':80
'da###oday.net':80
'mi###are.net':80
'tr###dare.net':80
'cl###such.net':80
'da###uch.net':80
'du###ance.net':80
'si###tell.net':80
'ca###are.net':80
'si###body.net':80
'th###tell.net':80
'he###are.net':80
'ca###ody.net':80
'he###ody.net':80
'ca###ance.net':80
'he###ance.net':80
'wi###ell.net':80
'du###ell.net':80
'wi###ody.net':80
'du###ody.net':80
'th###dare.net':80
'si###dance.net':80
'th###body.net':80
'si###dare.net':80
'th###dance.net':80

TCP:

Запросы HTTP GET:

http://mo###are.net/index.php
http://su###ydance.net/index.php
http://th###ell.net/index.php
http://su###ydare.net/index.php
http://mo###ance.net/index.php
http://su###ytell.net/index.php
http://mo###ell.net/index.php
http://su###ybody.net/index.php
http://mo###ody.net/index.php
http://qu###dare.net/index.php
http://th###are.net/index.php
http://ca###ell.net/index.php
http://he###ell.net/index.php
http://qu###dance.net/index.php
http://th###ody.net/index.php
http://qu###tell.net/index.php
http://th###ance.net/index.php
http://qu###body.net/index.php
http://me###are.net/index.php
http://cl###body.net/index.php
http://da###ody.net/index.php
http://cl###dance.net/index.php
http://da###ance.net/index.php
http://cl###tell.net/index.php
http://tr###feel.net/index.php
http://mi###igh.net/index.php
http://da###ell.net/index.php
http://mi###eel.net/index.php
http://si###ance.net/index.php
http://me###ody.net/index.php
http://si###are.net/index.php
http://me###ance.net/index.php
http://si###ody.net/index.php
http://cl###dare.net/index.php
http://da###are.net/index.php
http://me###ell.net/index.php
http://si###ell.net/index.php
http://mi###ody.net/index.php
http://tr###body.net/index.php
http://mi###ance.net/index.php
http://tr###dance.net/index.php
http://mi###ell.net/index.php
http://du###are.net/index.php
http://wi###ance.net/index.php
http://tr###tell.net/index.php
http://wi###are.net/index.php
http://be##lxc.com/index.php
http://de###lxc.com/index.php
http://ri###nstorm.net/index.php
http://af###sllc.com/index.php
http://da###oday.net/index.php
http://mi###are.net/index.php
http://tr###dare.net/index.php
http://cl###such.net/index.php
http://da###uch.net/index.php
http://du###ance.net/index.php
http://si###tell.net/index.php
http://ca###are.net/index.php
http://si###body.net/index.php
http://th###tell.net/index.php
http://he###are.net/index.php
http://ca###ody.net/index.php
http://he###ody.net/index.php
http://ca###ance.net/index.php
http://he###ance.net/index.php
http://wi###ell.net/index.php
http://du###ell.net/index.php
http://wi###ody.net/index.php
http://du###ody.net/index.php
http://th###dare.net/index.php
http://si###dance.net/index.php
http://th###body.net/index.php
http://si###dare.net/index.php
http://th###dance.net/index.php

UDP:

DNS ASK su###ydance.net
DNS ASK mo###ance.net
DNS ASK su###ydare.net
DNS ASK mo###are.net
DNS ASK su###ybody.net
DNS ASK mo###ell.net
DNS ASK me###are.net
DNS ASK mo###ody.net
DNS ASK su###ytell.net
DNS ASK th###ell.net
DNS ASK qu###dare.net
DNS ASK th###are.net
DNS ASK ca###ell.net
DNS ASK he###ell.net
DNS ASK qu###dance.net
DNS ASK th###ody.net
DNS ASK qu###tell.net
DNS ASK th###ance.net
DNS ASK qu###body.net
DNS ASK da###ody.net
DNS ASK cl###tell.net
DNS ASK da###ance.net
DNS ASK cl###body.net
DNS ASK da###ell.net
DNS ASK mi###igh.net
DNS ASK tr###high.net
DNS ASK mi###eel.net
DNS ASK tr###feel.net
DNS ASK cl###dance.net
DNS ASK si###ance.net
DNS ASK me###ody.net
DNS ASK si###are.net
DNS ASK me###ance.net
DNS ASK si###ody.net
DNS ASK cl###dare.net
DNS ASK da###are.net
DNS ASK me###ell.net
DNS ASK si###ell.net
DNS ASK mi###ody.net
DNS ASK tr###body.net
DNS ASK mi###ance.net
DNS ASK tr###dance.net
DNS ASK mi###ell.net
DNS ASK du###are.net
DNS ASK wi###ance.net
DNS ASK tr###tell.net
DNS ASK wi###are.net
DNS ASK be##lxc.com
DNS ASK de###lxc.com
DNS ASK ri###nstorm.net
DNS ASK af###sllc.com
DNS ASK da###oday.net
DNS ASK mi###are.net
DNS ASK tr###dare.net
DNS ASK cl###such.net
DNS ASK da###uch.net
DNS ASK du###ance.net
DNS ASK si###tell.net
DNS ASK ca###are.net
DNS ASK si###body.net
DNS ASK th###tell.net
DNS ASK he###are.net
DNS ASK ca###ody.net
DNS ASK he###ody.net
DNS ASK ca###ance.net
DNS ASK he###ance.net
DNS ASK wi###ell.net
DNS ASK du###ell.net
DNS ASK wi###ody.net
DNS ASK du###ody.net
DNS ASK th###dare.net
DNS ASK si###dance.net
DNS ASK th###body.net
DNS ASK si###dare.net
DNS ASK th###dance.net
'23#.#55.255.250':1900

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней