Trojan.DownLoader10.36181

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\VncViewer.Config\shell\open\command] '' = '"%PROGRAM_FILES%\TightVNC\vncviewer.exe" -config "%1"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'tvncontrol' = '"%PROGRAM_FILES%\TightVNC\tvnserver.exe" -controlservice -slave'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\tvnserver] 'Start' = '00000002'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\TightVNC\vncviewer.exe' = '%PROGRAM_FILES%\TightVNC\vncviewer.exe:*:Enabled:TightVNC Viewer'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\TightVNC\tvnserver.exe' = '%PROGRAM_FILES%\TightVNC\tvnserver.exe:*:Enabled:TightVNC Server'

Создает и запускает на исполнение:

'%PROGRAM_FILES%\TightVNC\tvnserver.exe' -service
'%PROGRAM_FILES%\TightVNC\tvnserver.exe' -controlservice -slave
'C:\admin\vnc\vnc.exe'
'%PROGRAM_FILES%\TightVNC\tvnserver.exe' -start -silent
'C:\admin\vnc.install\setup-vnc.exe'
'C:\admin\vnc.install\tightvnc-2.0.4-setup.exe' /S
'%PROGRAM_FILES%\TightVNC\tvnserver.exe' -reinstall -silent

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\TightVNC\vncviewer.exe.new
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Application Mode)\TightVNC Server - Offline Configuration.lnk
%TEMP%\nst3.tmp\SimpleFC.dll
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Viewer.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Application Mode)\TightVNC Server - Control Interface.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Service Mode)\TightVNC Service - Offline Configuration.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Service Mode)\TightVNC Service - Control Interface.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Application Mode)\Run TightVNC Server.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Service Mode)\Unregister TightVNC Service.lnk
C:\admin\vnc\files\VNC.ico
C:\admin\vnc\files\ssap.dat
%HOMEPATH%\Desktop\VNC MosheHelp.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\raw[1]
C:\admin\vnc\files\MHW560x210.jpg
%PROGRAM_FILES%\TightVNC\uninstall.exe
%TEMP%\nst3.tmp\AccessControl.dll
C:\admin\vnc\vnc.exe
C:\admin\vnc\Config.ini
C:\admin\vnc.install\tightvnc-2.0.4-setup.exe
C:\admin\vnc.install\setup-vnc.exe
%TEMP%\nst3.tmp\UserInfo.dll
%TEMP%\nsz2.tmp
C:\admin\vnc.install\VNC\vnc.exe
C:\admin\vnc.install\VNC\files\MHW560x210.jpg
C:\admin\vnc.install\VNC\Config.ini
C:\admin\vnc.install\VNC\files\VNC.ico
C:\admin\vnc.install\VNC\files\ssap.dat
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Service Mode)\Register TightVNC Service.lnk
%PROGRAM_FILES%\TightVNC\screenhooks.dll.new
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Service Mode)\Stop TightVNC Service.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\TightVNC Server (Service Mode)\Start TightVNC Service.lnk
%PROGRAM_FILES%\TightVNC\tvnserver.exe
%PROGRAM_FILES%\TightVNC\LICENSE.txt
%TEMP%\nst3.tmp\System.dll
%ALLUSERSPROFILE%\Start Menu\Programs\TightVNC\Visit TightVNC Web Site.lnk
%PROGRAM_FILES%\TightVNC\TightVNC Web Site.url

Удаляет следующие файлы:

%TEMP%\nst3.tmp\System.dll
%TEMP%\nst3.tmp\UserInfo.dll
%TEMP%\nst3.tmp\AccessControl.dll
%TEMP%\nst3.tmp\SimpleFC.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\TightVNC\vncviewer.exe.new в %PROGRAM_FILES%\TightVNC\vncviewer.exe
%PROGRAM_FILES%\TightVNC\screenhooks.dll.new в %PROGRAM_FILES%\TightVNC\screenhooks.dll

Сетевая активность:

Подключается к: