Trojan.DownLoader8.36802

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'CPushSetup' = '"<SYSTEM32>\regsvr32.exe" /s "%CommonProgramFiles%\CPUSH\cpush.dll"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Calendar' = '"%PROGRAM_FILES%\Calendar\Calendar.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'mosbhlp' = 'rundll32.exe <SYSTEM32>\oobe\wmpns.dll,_S1'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,rundll32.exe <SYSTEM32>\oobe\wmpns.dll _S1,'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ssst] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\ProtectedStorager] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\acpidisk] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\config\msc15.exe
%TEMP%\AIS_2497_0.EXE
<SYSTEM32>\inf\ad.exe
<SYSTEM32>\inf\msc15.exe /install u1
%WINDIR%\tempaq 80118
%PROGRAM_FILES%\Calendar\Calendar.exe
%TEMP%\QQupdate.exe %TEMP%\ntsys_8le0001.exe
%TEMP%\ha_80118.exe "%WINDIR%\tempaq" 80118
%TEMP%\ad7287.exe
%TEMP%\ha_80118.exe
%TEMP%\dodolook655.exe
%TEMP%\10085.exe
%TEMP%\ad_2497.exe
%TEMP%\ntsys_8le0001.exe
%TEMP%\7.exe 7655
%TEMP%\u15.exe
%WINDIR%\tempaq (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\rundll32.exe
<SYSTEM32>\svchost.exe -k netsvcs
<SYSTEM32>\regsvr32.exe /s "%CommonProgramFiles%\CPUSH\cpush.dll"

Внедряет код в

следующие системные процессы:

<SYSTEM32>\csrss.exe

следующие пользовательские процессы:

360tray.exe

Ищет следующие окна с целью

обхода различных антивирусов:

ClassName: 'AVP.AlertDialog' WindowName: '????????'

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Temp\~DF0E9B.tmp
%TEMP%\tempaq
%PROGRAM_FILES%\nnno\ddde.lex
%CommonProgramFiles%\CPUSH\cpush.tmp
%PROGRAM_FILES%\Calendar\HtmlPeek.dll
%PROGRAM_FILES%\Calendar\EULA.txt
%PROGRAM_FILES%\Calendar\Calendar.exe
%PROGRAM_FILES%\nnno\tttu.dll
%PROGRAM_FILES%\nnno\aaab.dll
%PROGRAM_FILES%\nnno\iiij.ini
%PROGRAM_FILES%\nnno\xxxy.dll
%PROGRAM_FILES%\nnno\cccd.dll
%PROGRAM_FILES%\nnno\fffg.dll
<SYSTEM32>\Com\mosbadmin.dat
<SYSTEM32>\oobe\wmpns.dll
%TEMP%\www14.tmp
%TEMP%\www13.tmp
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\newup3[1].txt
%PROGRAM_FILES%\nnno\qqqr\qqqr.ini
%PROGRAM_FILES%\nnno\qqqrlex\qqqrlex.ini
%PROGRAM_FILES%\nnno\iiij\iiij.ini
%PROGRAM_FILES%\nnno\kkkl\kkkl.ini
%PROGRAM_FILES%\nnno\rrrs.ini
%HOMEPATH%\Start Menu\Programs\Е©АъМбКѕ\Е©АъР¶ФШ.lnk
%HOMEPATH%\Start Menu\Programs\Е©АъМбКѕ\Е©АъМбКѕ.lnk
%PROGRAM_FILES%\Calendar\uninstall.exe
%HOMEPATH%\Desktop\Е©АъМбКѕ.lnk
<SYSTEM32>\comarshal.dat
<SYSTEM32>\Com\Config.cfg
<SYSTEM32>\Com\1.1.4\WndHook.dll
%TEMP%\7.exe
%TEMP%\nsd5.tmp\System.dll
%TEMP%\nsi4.tmp
%TEMP%\nsq9.tmp
%TEMP%\nsiB.tmp\System.dll
%CommonProgramFiles%\CPUSH\cpush.dll
%CommonProgramFiles%\CPUSH\Uninst.exe
%TEMP%\ntsys_8le0001.exe
%TEMP%\10085.exe
%TEMP%\dodolook655.exe
%TEMP%\nse2.tmp
%TEMP%\ad7287.exe
%TEMP%\ad_2497.exe
%TEMP%\u15.exe
%TEMP%\ha_80118.exe
<SYSTEM32>\config\msc15.exe
%TEMP%\InsShell.exe
%TEMP%\nsaF.tmp
<SYSTEM32>\mprmsgse.axz
%PROGRAM_FILES%\nnno\mmmn.ini
<SYSTEM32>\config\dev06.inf
%TEMP%\nsn11.tmp
%TEMP%\QQupdate.exe
<DRIVERS>\acpidisk.sys
%TEMP%\acpidisk.sys
%TEMP%\DoSSSetup.dll
<SYSTEM32>\inf\msc15.exe
<SYSTEM32>\winlib .dll
<SYSTEM32>\inf\ad.exe