Trojan.DownLoader8.33997

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1F57AEAD-DB12-11D2-A4F9-00608CEBEE49}\DownloadInformation] 'CODEBASE' = 'file://<Текущая директория>\cabfiles\ToinbGrid.cab'
[<HKLM>\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{69F1348F-3EBE-11D3-973D-0060979E2A03}\DownloadInformation] 'CODEBASE' = 'file://<Текущая директория>\cabfiles\ToinbIFile.cab'
[<HKLM>\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E6876E99-7C28-43AD-9088-315DC302C05F}\DownloadInformation] 'CODEBASE' = 'file://<Текущая директория>\cabfiles\ToinbEMEdit.cab'
[<HKLM>\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{9C9AB433-EA85-11D2-A4F9-00608CEBEE49}\DownloadInformation] 'CODEBASE' = 'file://<Текущая директория>\cabfiles\ToinbBind.cab'
[<HKLM>\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{3267EA0D-B5D8-11D2-A4F9-00608CEBEE49}\DownloadInformation] 'CODEBASE' = 'file://<Текущая директория>\cabfiles\ToinbData.cab'

Вредоносные функции:

Создает и запускает на исполнение:

<Текущая директория>\Installer.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Cab56.tmp
%TEMP%\Cab58.tmp
%TEMP%\Cab5A.tmp
%TEMP%\Cab54.tmp
%TEMP%\Cab4E.tmp
%TEMP%\Cab50.tmp
%TEMP%\Cab52.tmp
%TEMP%\Cab64.tmp
%TEMP%\Cab66.tmp
%TEMP%\Cab68.tmp
%TEMP%\Cab62.tmp
%TEMP%\Cab5C.tmp
%TEMP%\Cab5E.tmp
%TEMP%\Cab60.tmp
%TEMP%\Cab4C.tmp
<SYSTEM32>\SET3D.tmp
%WINDIR%\Downloaded Program Files\SET3E.tmp
%TEMP%\Cab3B.tmp
%TEMP%\Cab35.tmp
%TEMP%\Cab37.tmp
%TEMP%\Cab39.tmp
%TEMP%\Cab46.tmp
%TEMP%\Cab48.tmp
%TEMP%\Cab4A.tmp
%TEMP%\Cab44.tmp
%WINDIR%\Downloaded Program Files\SET3F.tmp
%TEMP%\Cab40.tmp
%TEMP%\Cab42.tmp
%TEMP%\Cab6A.tmp
%WINDIR%\Downloaded Program Files\SET79.tmp
%TEMP%\Cab7A.tmp
%TEMP%\Cab7C.tmp
%WINDIR%\Downloaded Program Files\SET78.tmp
%WINDIR%\Downloaded Program Files\SET77.tmp
%TEMP%\ICD1.tmp\ToinbInputFile.dll
%TEMP%\ICD1.tmp\ToinbInputFile.inf
%TEMP%\Cab86.tmp
%TEMP%\Cab88.tmp
%TEMP%\Cab8A.tmp
%TEMP%\Cab84.tmp
%TEMP%\Cab7E.tmp
%TEMP%\Cab80.tmp
%TEMP%\Cab82.tmp
%WINDIR%\Downloaded Program Files\SET76.tmp
%WINDIR%\Downloaded Program Files\SET70.tmp
%WINDIR%\Downloaded Program Files\SET71.tmp
%TEMP%\Cab72.tmp
%TEMP%\ICD1.tmp\ToinbEMEdit.inf
%TEMP%\Cab6C.tmp
%TEMP%\Cab6E.tmp
%TEMP%\ICD1.tmp\ToinbEMEdit.dll
%APPDATA%\Microsoft\CryptnetUrlCache\Content\12236C41CDDF9E40BA5606CDF086B821
%TEMP%\ICD1.tmp\ToinbGrid.dll
%TEMP%\ICD1.tmp\ToinbGrid.inf
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\12236C41CDDF9E40BA5606CDF086B821
%TEMP%\Cab74.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8EDCF682921FE94F4A02A43CD1A28E6B
%APPDATA%\Microsoft\CryptnetUrlCache\Content\8EDCF682921FE94F4A02A43CD1A28E6B
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\74BFD122C0875EC75DBE5C6DB4C59019
%APPDATA%\Microsoft\CryptnetUrlCache\Content\74BFD122C0875EC75DBE5C6DB4C59019
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\486CC6AFD08942336C61FCD401C4A1D1
<Текущая директория>\cabfiles\ToinbTree.cab
<Текущая директория>\cabfiles\ToinbTab.cab
<Текущая директория>\cabfiles\ToinbTextArea.cab
<Текущая директория>\cabfiles\ToinbTR.cab
%WINDIR%\Downloaded Program Files\SET2.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%WINDIR%\Downloaded Program Files\SET1.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\486CC6AFD08942336C61FCD401C4A1D1
%TEMP%\ICD1.tmp\ToinbBind.dll
%TEMP%\ICD1.tmp\ToinbBind.inf
<Текущая директория>\cabfiles\ToinbSecurity.cab
<Текущая директория>\cabfiles\ToinbData.cab
<Текущая директория>\cabfiles\ToinbEMEdit.cab
<Текущая директория>\cabfiles\ToinbGrid.cab
<Текущая директория>\cabfiles\ToinbBind.cab
<Текущая директория>\Installer.exe
<Текущая директория>\cabfiles\LuxeCombo.cab
<Текущая директория>\cabfiles\Potential.cab
<Текущая директория>\cabfiles\toinbmgrid.cab
<Текущая директория>\cabfiles\ToinbRadio.cab
<Текущая директория>\cabfiles\ToinbRep.cab
<Текущая директория>\cabfiles\ToinbMenu.cab
<Текущая директория>\cabfiles\ToinbIFile.cab
<Текущая директория>\cabfiles\ToinbImgData.cab
<Текущая директория>\cabfiles\ToinbMEdit.cab
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab27.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab25.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab23.tmp
%TEMP%\ICD1.tmp\Siftzlib.dll
%TEMP%\Cab31.tmp
%TEMP%\Cab33.tmp
%TEMP%\ICD1.tmp\ToinbData.inf
%TEMP%\Cab2D.tmp
%TEMP%\Cab2F.tmp
%TEMP%\ICD1.tmp\ToinbData.dll
%TEMP%\Cab1D.tmp
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\CabD.tmp
%TEMP%\Cab7.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab19.tmp
%TEMP%\Cab1B.tmp
%TEMP%\Cab15.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp

Удаляет следующие файлы:

%TEMP%\Cab5E.tmp
%TEMP%\Cab60.tmp
%TEMP%\Cab5A.tmp
%TEMP%\Cab5C.tmp
%TEMP%\Cab62.tmp
%TEMP%\Cab68.tmp
%TEMP%\Cab6A.tmp
%TEMP%\Cab64.tmp
%TEMP%\Cab66.tmp
%TEMP%\Cab4C.tmp
%TEMP%\Cab4E.tmp
%TEMP%\Cab48.tmp
%TEMP%\Cab4A.tmp
%TEMP%\Cab50.tmp
%TEMP%\Cab56.tmp
%TEMP%\Cab58.tmp
%TEMP%\Cab52.tmp
%TEMP%\Cab54.tmp
%TEMP%\Cab6C.tmp
%TEMP%\Cab7E.tmp
%TEMP%\Cab80.tmp
%TEMP%\Cab7A.tmp
%TEMP%\Cab7C.tmp
%TEMP%\Cab82.tmp
%TEMP%\Cab88.tmp
%TEMP%\Cab8A.tmp
%TEMP%\Cab84.tmp
%TEMP%\Cab86.tmp
%TEMP%\ICD1.tmp\ToinbEMEdit.dll
%TEMP%\Cab72.tmp
%TEMP%\Cab6E.tmp
%TEMP%\ICD1.tmp\ToinbEMEdit.inf
%TEMP%\Cab74.tmp
%TEMP%\ICD1.tmp\ToinbInputFile.inf
%TEMP%\ICD1.tmp\ToinbInputFile.dll
%TEMP%\ICD1.tmp\ToinbGrid.inf
%TEMP%\ICD1.tmp\ToinbGrid.dll
%TEMP%\Cab46.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab19.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab1B.tmp
%TEMP%\Cab1D.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
%TEMP%\ICD1.tmp\ToinbBind.inf
%TEMP%\ICD1.tmp\ToinbBind.dll
%TEMP%\Cab7.tmp
%TEMP%\CabD.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab23.tmp
%TEMP%\Cab3B.tmp
%TEMP%\ICD1.tmp\Siftzlib.dll
%TEMP%\Cab37.tmp
%TEMP%\Cab39.tmp
%TEMP%\ICD1.tmp\ToinbData.inf
%TEMP%\Cab42.tmp
%TEMP%\Cab44.tmp
%TEMP%\ICD1.tmp\ToinbData.dll
%TEMP%\Cab40.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab25.tmp
%TEMP%\Cab27.tmp
%TEMP%\Cab2D.tmp
%TEMP%\Cab33.tmp
%TEMP%\Cab35.tmp
%TEMP%\Cab2F.tmp
%TEMP%\Cab31.tmp

Перемещает следующие файлы:

%WINDIR%\Downloaded Program Files\SET76.tmp в %WINDIR%\Downloaded Program Files\ToinbGrid.dll
%WINDIR%\Downloaded Program Files\SET71.tmp в %WINDIR%\Downloaded Program Files\ToinbEMEdit.inf
%WINDIR%\Downloaded Program Files\SET77.tmp в %WINDIR%\Downloaded Program Files\ToinbGrid.inf
%WINDIR%\Downloaded Program Files\SET79.tmp в %WINDIR%\Downloaded Program Files\ToinbInputFile.inf
%WINDIR%\Downloaded Program Files\SET78.tmp в %WINDIR%\Downloaded Program Files\ToinbInputFile.dll
%WINDIR%\Downloaded Program Files\SET70.tmp в %WINDIR%\Downloaded Program Files\ToinbEMEdit.dll
%WINDIR%\Downloaded Program Files\SET2.tmp в %WINDIR%\Downloaded Program Files\ToinbBind.inf
%WINDIR%\Downloaded Program Files\SET1.tmp в %WINDIR%\Downloaded Program Files\ToinbBind.dll
<SYSTEM32>\SET3D.tmp в <SYSTEM32>\Siftzlib.dll
%WINDIR%\Downloaded Program Files\SET3F.tmp в %WINDIR%\Downloaded Program Files\ToinbData.inf
%WINDIR%\Downloaded Program Files\SET3E.tmp в %WINDIR%\Downloaded Program Files\ToinbData.dll

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'cs#####rl.thawte.com':80
'wp#d':80
'cr#.#hawte.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
cr#.#hawte.com/ThawtePCA.crl
cs#####rl.thawte.com/ThawteCSG2.crl
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
wp#d/wpad.dat
cr#.#hawte.com/ThawtePremiumServerCA.crl
cr#.#hawte.com/ThawteCodeSigningCA.crl

UDP:

DNS ASK www.download.windowsupdate.com
DNS ASK cs#####rl.thawte.com
DNS ASK wp#d
DNS ASK cr#.#hawte.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'Local Installer V1.0.3.36'
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней