Trojan.DownLoader8.29814

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\sc.exe config kaccore start= disabled
<SYSTEM32>\sc.exe config KISSvc start= disabled
<SYSTEM32>\sc.exe config KPfwSvc start= disabled
<SYSTEM32>\net1.exe stop KPfwSvc
<SYSTEM32>\sc.exe config wscsvc start= auto
<SYSTEM32>\sc.exe config SharedAccess start= disabled
<SYSTEM32>\attrib.exe -r -s -h -a boot.reg
<SYSTEM32>\attrib.exe -r -s -h -a loadboot.bat
<SYSTEM32>\attrib.exe -r -s -h -a loadwait.vbe
%WINDIR%\regedit.exe /s boot.reg
<SYSTEM32>\attrib.exe -r -s -h -a svchost.exe
<SYSTEM32>\attrib.exe +r +s +h +a svchost.exe
<SYSTEM32>\wscript.exe "%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.vbe"
<SYSTEM32>\cmd.exe /c ""%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat" "
<SYSTEM32>\net.exe stop SharedAccess
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\temp\file.VBE"
<SYSTEM32>\wscript.exe "%PROGRAM_FILES%\temp\call.vbe"
<SYSTEM32>\cmd.exe /c ""%PROGRAM_FILES%\temp\load.bat" "
<SYSTEM32>\net.exe stop KISSvc
<SYSTEM32>\net1.exe stop KISSvc
<SYSTEM32>\net.exe stop KPfwSvc
<SYSTEM32>\net1.exe stop SharedAccess
<SYSTEM32>\net.exe stop kaccore
<SYSTEM32>\net1.exe stop kaccore

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\explorer.exe
%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].html
%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe
%PROGRAM_FILES%\temp\listen.TXT
%WINDIR%\Temp\222.exe
%WINDIR%\Temp\111.exe
%PROGRAM_FILES%\temp\file.VBE
%PROGRAM_FILES%\temp\call.VBE
%PROGRAM_FILES%\temp\load.txt

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

%PROGRAM_FILES%\temp\file.VBE
%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
%PROGRAM_FILES%\temp\call.VBE
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].html
%PROGRAM_FILES%\temp\load.bat
%PROGRAM_FILES%\temp\listen.exe

Перемещает следующие файлы:

%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe в %WINDIR%\helpctr\wuem\maf\svchost.exe
%PROGRAM_FILES%\temp\listen.TXT в %PROGRAM_FILES%\temp\listen.exe
%PROGRAM_FILES%\temp\load.txt в %PROGRAM_FILES%\temp\load.bat

Сетевая активность:

Подключается к: