Trojan.DownLoader6.12993

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CheckAutodial' = '%PROGRAM_FILES%\Aventail Connect\CheckDial.exe'
[\REGISTRY\USER\TEMP\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'CheckAutodial' = '%PROGRAM_FILES%\Aventail Connect\CheckDial.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\NgVpnMgr] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\ngvpnmgr.exe
%TEMP%\AmexSRCv2\ngsetup.exe -silent -f=ngsetup.ini
%TEMP%\AmexSRCv2\vzbrai.exe

Запускает на исполнение:

<SYSTEM32>\msiexec.exe -Embedding 4DC1D085B28E035EDEE9514952894E56
<SYSTEM32>\runonce.exe -r
<SYSTEM32>\msiexec.exe /V
<SYSTEM32>\msiexec.exe /Y "%WINDIR%\ngwinx.dll"

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\ngcommon.dll
<SYSTEM32>\nglogon.dll
<DRIVERS>\ngfilter.sys
%PROGRAM_FILES%\Aventail Connect\ngvpn.cat
%WINDIR%\ngevent.dll
<SYSTEM32>\nghelp.chm
%WINDIR%\ngutil.exe
%WINDIR%\inf\ngvpn.inf
%WINDIR%\Temp\Top.bmp
<SYSTEM32>\nglocenu.dll
<SYSTEM32>\ngupdate.exe
<SYSTEM32>\ngvpnmgr.exe
<SYSTEM32>\ngmonitor.exe
%WINDIR%\ngmsi.dll
%PROGRAM_FILES%\Aventail Connect\VPNLauncher.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Aventail\Sydney Secure Connection.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\Aventail\Brighton Secure Connection.lnk
%ALLUSERSPROFILE%\Desktop\AMEX Secure Remote Connections.lnk
C:\Documents and Settings\Default User\ntuser.dat.LOG
%PROGRAM_FILES%\Aventail Connect\Checkdial.exe
%ALLUSERSPROFILE%\Start Menu\Programs\Aventail\Minneapolis Secure Connection.lnk
<DRIVERS>\SET6.tmp
%WINDIR%\inf\oem3.PNF
%WINDIR%\inf\oem3.inf
%ALLUSERSPROFILE%\Start Menu\Programs\Aventail\Phoenix Secure Connection.lnk
%ALLUSERSPROFILE%\Application Data\Microsoft\Network\Connections\Pbk\aventail.pbk
%ALLUSERSPROFILE%\Application Data\Aventail\nglog.lgf
%ALLUSERSPROFILE%\Application Data\Aventail\ngsetup.log
%ALLUSERSPROFILE%\Application Data\amdproxy.exe
%TEMP%\AmexSRCv2\vzbrai.exe
%WINDIR%\Installer\23500.msi
%ALLUSERSPROFILE%\Application Data\Aventail\ngsetup.ini
%ALLUSERSPROFILE%\Application Data\Aventail\ngvpn.msi
%TEMP%\AmexSRCv2\VPNLauncher.exe
%TEMP%\AmexSRCv2\Finalize Install.exe
%TEMP%\AmexSRCv2\Checkdial.exe
%TEMP%\AmexSRCv2\amdproxy.exe
%TEMP%\AmexSRCv2\setup.bat
%TEMP%\AmexSRCv2\ngsetup.ini
%TEMP%\AmexSRCv2\ngsetup.exe
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\74BFD122C0875EC75DBE5C6DB4C59019
<SYSTEM32>\ngras.dll
<DRIVERS>\nglog.sys
<SYSTEM32>\ngdial.exe
%WINDIR%\ngwinx.dll
%WINDIR%\ngmsgs.dll
<SYSTEM32>\ngclient.dll
<DRIVERS>\ngvpn.sys
%APPDATA%\Microsoft\CryptnetUrlCache\Content\486CC6AFD08942336C61FCD401C4A1D1
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\486CC6AFD08942336C61FCD401C4A1D1
%APPDATA%\Microsoft\CryptnetUrlCache\Content\74BFD122C0875EC75DBE5C6DB4C59019
C:\Config.Msi\23503.rbs
%WINDIR%\Installer\MSI2.tmp