Trojan.DownLoader11.22183

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Brmas] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Brmas\bin\Brmas.exe'
'<Текущая директория>\ldsmofang\hao123.exe'

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\taskkill.exe' /F /IM Brmas.exe /T

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtQueryValueKey, драйвер-обработчик: Brmas.sys
NtQuerySystemInformation, драйвер-обработчик: Brmas.sys
NtReadFile, драйвер-обработчик: Brmas.sys
NtTerminateProcess, драйвер-обработчик: Brmas.sys
NtSetValueKey, драйвер-обработчик: Brmas.sys
NtOpenKey, драйвер-обработчик: Brmas.sys
NtDeleteKey, драйвер-обработчик: Brmas.sys
NtCreateKey, драйвер-обработчик: Brmas.sys
NtDeleteValueKey, драйвер-обработчик: Brmas.sys
NtEnumerateValueKey, драйвер-обработчик: Brmas.sys
NtEnumerateKey, драйвер-обработчик: Brmas.sys

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Brmas\bin\brmas\db1.brmas
%APPDATA%\Brmas\bin\brmas\db3.brmas
%APPDATA%\Brmas\setting.ini
%PROGRAM_FILES%\Brmas\setting.ini
%PROGRAM_FILES%\Brmas\bin\ShellModules.exe
%PROGRAM_FILES%\Brmas\bin\stat.dll
%PROGRAM_FILES%\Brmas\bin\SysInfo.dll
%APPDATA%\Brmas\bin\brmas\db2.brmas
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\updateset[1].58
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\0-00-00-00-00-01&hid=11000000000000000001&locked=yes&url=aHR0cDovL3d3dy5oYW8xMjMuY29tLz90bj05NTEzOTUzN19oYW9fcGc=&md5=ec66584feea538eb13d0f80a74cff3df&rand=188765
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iecafe[1].58
%TEMP%\nsr2.tmp\SelfDel.dll
%PROGRAM_FILES%\Brmas\bin\ProtConfig.dat
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\homepageset[1].58
%PROGRAM_FILES%\Brmas\bin\InstallHelper.dll
%TEMP%\nsr2.tmp\KillProcDLL.dll
%TEMP%\nsr2.tmp\ExecCmd.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.dll
<Текущая директория>\ldsmofang\龙斗士魔方辅助6.0.exe
<Текущая директория>\ldsmofang\hao123.exe
<Текущая директория>\ldsmofang\使用教程.url
<Текущая директория>\ldsmofang\如果无法使用请关闭杀毒软件!.txt
%PROGRAM_FILES%\Brmas\bin\fixBrmas.exe
%PROGRAM_FILES%\Brmas\bin\HomeAssist.dll
%PROGRAM_FILES%\Brmas\bin\install.log
%PROGRAM_FILES%\Brmas\bin\CheckList.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.exe
%PROGRAM_FILES%\Brmas\bin\BrowserMgr.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.sys

Присваивает атрибут 'скрытый' для следующих файлов:

<Текущая директория>\ldsmofang\hao123.exe

Удаляет следующие файлы:

%TEMP%\nsr2.tmp\SelfDel.dll
<Текущая директория>\ldsmofang\hao123.exe
%TEMP%\nsr2.tmp\ExecCmd.dll
%TEMP%\nsr2.tmp\KillProcDLL.dll

Сетевая активность:

Подключается к:

'up####.safe.my.iedun.cn':80
'localhost':1036

TCP:

Запросы HTTP GET:

up####.safe.my.iedun.cn/home1/updateset/updateset/?co##############################
up####.safe.my.iedun.cn/?us#############################################################################################################################################################################################################
up####.safe.my.iedun.cn/home1/homepageset/?co##############################
up####.safe.my.iedun.cn/home1/iecafe/iecafe/?co##############################

UDP: