Trojan.DownLoader11.18259

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'Wpro' = '<SYSTEM32>\wpro.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\authclt] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\fsclient] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\authclt_guard] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Authcomm] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\WZCSVC] 'start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\fluxmgr] 'Start' = '00000000'
[<HKLM>\SYSTEM\ControlSet001\Services\fsclient_guard] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Tcpip] 'start' = '00000001'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '<SYSTEM32>\fsclient\fsclient.exe' = '<SYSTEM32>\fsclient\fsclient.exe:*:Enabled:GSCClient'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\fsclient\fsclient.exe' = '<SYSTEM32>\fsclient\fsclient.exe:*:Enabled:GSCClient'

Создает и запускает на исполнение:

'<SYSTEM32>\fsclient\fsguard.exe' fsclient
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess -hw "<SYSTEM32>\clp.exe"
'<SYSTEM32>\fsclient\fsclient.exe'
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess "<SYSTEM32>\fsclient\fsguard.exe" "fsclient"
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess "<SYSTEM32>\fsclient\fsclient.exe"
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess "<SYSTEM32>\wpro.exe"
'<SYSTEM32>\wpro.exe'
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess "<SYSTEM32>\authclt.exe"
'<SYSTEM32>\authclt.exe'
'%PROGRAM_FILES%\optreg.exe' setvlu 2 SOFTWARE\Microsoft\Windows\CurrentVersion fslv dw 0
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess "<SYSTEM32>\fsguard.exe" "authclt"
'<SYSTEM32>\fsguard.exe' authclt
'<SYSTEM32>\fsclienta.exe'
'<SYSTEM32>\kill.exe' fsclienta.exe
'<SYSTEM32>\kill.exe' fsclient.exe
'<SYSTEM32>\kill.exe' authclt.exe
'%TEMP%\WinVer.exe' OS_IS_VIRTUAL
'<SYSTEM32>\clp.exe'
'<SYSTEM32>\kill.exe' fsguard.exe
'<SYSTEM32>\kill.exe' wpro.exe
'<SYSTEM32>\fsclient\WinVer.exe' OS_VER
'C:\FARSEER_CLIENT\pcit.exe' -StartProcess -hw C:\FARSEER_CLIENT\pcit.exe "-SetReg "HKEY_LOCAL_MACHINE" "SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices" "Wpro" "<SYSTEM32>\wpro.exe" "0""
'C:\FARSEER_CLIENT\pcit.exe' -SetReg HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Wpro <SYSTEM32>\wpro.exe 0
'<SYSTEM32>\FsWinVer.exe' OS_BIT_IS_64
'C:\FARSEER_CLIENT\pcit.exe' -v 51
'C:\FARSEER_CLIENT\pcit.exe' -v 70

Запускает на исполнение:

'<SYSTEM32>\arp.exe' -d *

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\~GLH0023.TMP
<SYSTEM32>\fsclient\~GLH0022.TMP
<DRIVERS>\~GLH0021.TMP
<SYSTEM32>\~GLH0024.TMP
<SYSTEM32>\fsclient\~GLH0027.TMP
<SYSTEM32>\~GLH0026.TMP
<SYSTEM32>\~GLH0025.TMP
<SYSTEM32>\~GLH0020.TMP
<SYSTEM32>\~GLH001b.TMP
<SYSTEM32>\~GLH001a.TMP
%PROGRAM_FILES%\~GLH0019.TMP
<SYSTEM32>\~GLH001c.TMP
<SYSTEM32>\~GLH001f.TMP
<DRIVERS>\~GLH001e.TMP
<SYSTEM32>\~GLH001d.TMP
<SYSTEM32>\fsguard_new.log
<SYSTEM32>\fsguard.dll
<SYSTEM32>\fsclient\fsclient.dll
<SYSTEM32>\fsclienta_new.log
%TEMP%\fsinstall.log
<SYSTEM32>\authclt_new.log
%PROGRAM_FILES%\~GLH002b.TMP
<SYSTEM32>\fsclient\fsclient_new.log
<SYSTEM32>\~GLH002a.TMP
<SYSTEM32>\fsclient\~GLH0029.TMP
<SYSTEM32>\~GLH0028.TMP
<SYSTEM32>\fsclient\fsguard.dll
<SYSTEM32>\fsclient\fluxmgr.ini
<SYSTEM32>\wpro_new.log
<SYSTEM32>\fsclient\fsguard_new.log
C:\FARSEER_CLIENT\~GLH0005.TMP
<SYSTEM32>\~GLH0004.TMP
%TEMP%\GLI5.tmp
C:\FARSEER_CLIENT\~GLH0006.TMP
<SYSTEM32>\fsclient\~GLH0009.TMP
<SYSTEM32>\fsclient\~GLH0008.TMP
<SYSTEM32>\fsclient\~GLH0007.TMP
<SYSTEM32>\clp_new.log
%TEMP%\GLG4.tmp
%TEMP%\GLK2.tmp
%TEMP%\GLC1.tmp
%TEMP%\~GLH0000.TMP
<SYSTEM32>\~GLH0003.TMP
<SYSTEM32>\~GLH0002.TMP
<SYSTEM32>\~GLH0001.TMP
<SYSTEM32>\fsclient\Resource\~GLH0014.TMP
<SYSTEM32>\fsclient\Resource\~GLH0013.TMP
<SYSTEM32>\fsclient\~GLH0012.TMP
<SYSTEM32>\~GLH0015.TMP
<SYSTEM32>\~GLH0018.TMP
<SYSTEM32>\fsclient\~GLH0017.TMP
<SYSTEM32>\~GLH0016.TMP
<SYSTEM32>\fsclient\Resource\~GLH0011.TMP
<SYSTEM32>\~GLH000c.TMP
<SYSTEM32>\~GLH000b.TMP
<SYSTEM32>\fsclient\~GLH000a.TMP
<SYSTEM32>\fsclient\~GLH000d.TMP
<SYSTEM32>\fsclient\Resource\~GLH0010.TMP
<SYSTEM32>\fsclient\~GLH000f.TMP
<SYSTEM32>\fsclient\~GLH000e.TMP

Удаляет следующие файлы:

C:\FARSEER_CLIENT\pcit.exe
C:\FARSEER_CLIENT\blLog.dll
%TEMP%\GLI5.tmp
%TEMP%\GLC1.tmp
%TEMP%\GLK2.tmp
<SYSTEM32>\nethelptools.dll
%TEMP%\GLG4.tmp
<SYSTEM32>\ntfluxmgr.reg
%PROGRAM_FILES%\optreg.exe
<SYSTEM32>\9xfluxmgr.reg

Перемещает следующие файлы:

<SYSTEM32>\~GLH001d.TMP в <SYSTEM32>\authcomm.reg
<SYSTEM32>\~GLH001c.TMP в <SYSTEM32>\authclt.dat
<DRIVERS>\~GLH001e.TMP в <DRIVERS>\authcomm.sys
<SYSTEM32>\~GLH0020.TMP в <SYSTEM32>\userinfo.dat
<SYSTEM32>\~GLH001f.TMP в <SYSTEM32>\userinfo.exe
<SYSTEM32>\~GLH001b.TMP в <SYSTEM32>\authclt.exe
<SYSTEM32>\fsclient\~GLH0017.TMP в <SYSTEM32>\fsclient\procinfo.dll
<SYSTEM32>\~GLH0016.TMP в <SYSTEM32>\wpro.dat
<SYSTEM32>\~GLH0018.TMP в <SYSTEM32>\FsWinVer.exe
<SYSTEM32>\~GLH001a.TMP в <SYSTEM32>\fsguard.exe
%PROGRAM_FILES%\~GLH0019.TMP в %PROGRAM_FILES%\optreg.exe
<SYSTEM32>\~GLH0028.TMP в <SYSTEM32>\uninst.exe
<SYSTEM32>\fsclient\~GLH0027.TMP в <SYSTEM32>\fsclient\uninst.exe
<SYSTEM32>\fsclient\~GLH0029.TMP в <SYSTEM32>\fsclient\uninst.dat
%PROGRAM_FILES%\~GLH002b.TMP в %PROGRAM_FILES%\optreg.exe
<SYSTEM32>\~GLH002a.TMP в <SYSTEM32>\uninst.dat
<SYSTEM32>\~GLH0026.TMP в <SYSTEM32>\fsclienta.dat
<SYSTEM32>\fsclient\~GLH0022.TMP в <SYSTEM32>\fsclient\AlarmHlp.dll
<DRIVERS>\~GLH0021.TMP в <DRIVERS>\fluxmgr.sys
<SYSTEM32>\~GLH0023.TMP в <SYSTEM32>\AlarmHlp.dll
<SYSTEM32>\~GLH0025.TMP в <SYSTEM32>\fsclienta.exe
<SYSTEM32>\~GLH0024.TMP в <SYSTEM32>\nethelptools.dll
<SYSTEM32>\fsclient\~GLH0007.TMP в <SYSTEM32>\fsclient\nethelptools.dll
C:\FARSEER_CLIENT\~GLH0006.TMP в C:\FARSEER_CLIENT\pcit.exe
<SYSTEM32>\fsclient\~GLH0008.TMP в <SYSTEM32>\fsclient\fluxmgr.dll
<SYSTEM32>\fsclient\~GLH000a.TMP в <SYSTEM32>\fsclient\fsclient.dat
<SYSTEM32>\fsclient\~GLH0009.TMP в <SYSTEM32>\fsclient\fsclient.exe
C:\FARSEER_CLIENT\~GLH0005.TMP в C:\FARSEER_CLIENT\blLog.dll
<SYSTEM32>\~GLH0001.TMP в <SYSTEM32>\nethelptools.dll
%TEMP%\~GLH0000.TMP в %TEMP%\WinVer.exe
<SYSTEM32>\~GLH0002.TMP в <SYSTEM32>\clp.exe
<SYSTEM32>\~GLH0004.TMP в <SYSTEM32>\kill.exe
<SYSTEM32>\~GLH0003.TMP в <SYSTEM32>\clp.dll
<SYSTEM32>\fsclient\~GLH0012.TMP в <SYSTEM32>\fsclient\WinVer.exe
<SYSTEM32>\fsclient\Resource\~GLH0011.TMP в <SYSTEM32>\fsclient\Resource\AlarmHlpen.dll
<SYSTEM32>\fsclient\Resource\~GLH0013.TMP в <SYSTEM32>\fsclient\Resource\fsclientaen.dll
<SYSTEM32>\~GLH0015.TMP в <SYSTEM32>\wpro.exe
<SYSTEM32>\fsclient\Resource\~GLH0014.TMP в <SYSTEM32>\fsclient\Resource\userinfoen.dll
<SYSTEM32>\fsclient\Resource\~GLH0010.TMP в <SYSTEM32>\fsclient\Resource\fsclienten.dll
<SYSTEM32>\~GLH000c.TMP в <SYSTEM32>\ntfluxmgr.reg
<SYSTEM32>\~GLH000b.TMP в <SYSTEM32>\9xfluxmgr.reg
<SYSTEM32>\fsclient\~GLH000d.TMP в <SYSTEM32>\fsclient\pfw.dll
<SYSTEM32>\fsclient\~GLH000f.TMP в <SYSTEM32>\fsclient\fsguard.dat
<SYSTEM32>\fsclient\~GLH000e.TMP в <SYSTEM32>\fsclient\fsguard.exe

Сетевая активность:

Подключается к:

'localhost':288

Другое:

Ищет следующие окна:

ClassName: '(null)' WindowName: '????'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технології

Терміни

Навчання

Міфи

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней