Trojan.DownLoader5.37701

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg2' = 'E:\WINDOWS\system32\update\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg3' = 'F:\WINDOWS\system32\update\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg' = '<SYSTEM32>\update\start.cmd'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msg1' = '<Имя диска съемного носителя>:\WINDOWS\system32\update\start.cmd'

Создает следующие сервисы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg2 /t REG_SZ /d E:\WINDOWS\system32\update\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg1 /t REG_SZ /d <Имя диска съемного носителя>:\WINDOWS\system32\update\start.cmd /f
<SYSTEM32>\attrib.exe %WINDIR%/system32/update/config.txt +r +s +h
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg3 /t REG_SZ /d F:\WINDOWS\system32\update\start.cmd /f
<SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v msg /t REG_SZ /d <SYSTEM32>\update\start.cmd /f
<SYSTEM32>\netsh.exe firewall set opmode disable
<SYSTEM32>\cmd.exe /c ""<SYSTEM32>\update\msg.bat" /system32/update/msg.bat"
%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://av###.net.ua
<SYSTEM32>\ping.exe 127.0.0.1 -n 5

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\si\flist.xml
<SYSTEM32>\si\install.bat
<SYSTEM32>\si\Dirs.xml
<SYSTEM32>\update\update.exe
<SYSTEM32>\si\123.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\avril.net[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\avril.net[1]
<SYSTEM32>\si\Log.txt
<SYSTEM32>\si\settings.xml
<SYSTEM32>\si\si.exe
<SYSTEM32>\update\Config\maps.txt
<SYSTEM32>\update\Config\players.txt
<SYSTEM32>\update\Config\hostnames.txt
<SYSTEM32>\update\Config\Advanced\masters.txt
<SYSTEM32>\update\Config\clcmds.txt
<SYSTEM32>\update\msg.bat
<SYSTEM32>\update\start.cmd
<SYSTEM32>\update\config.txt
<SYSTEM32>\update\Config\rules.txt
<SYSTEM32>\update\Config\slist.txt