Trojan.DownLoader11.13810

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'DSLKN' = '%APPDATA%\GTMHP\UXRDZ.pif %APPDATA%\GTMHP\PWXXY-TUB'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\vgc.exe' = '%TEMP%\vgc.exe:*:Enabled:Windows Messanger'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe' = '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe:*:Enabled:Windows Messanger'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'

Создает и запускает на исполнение:

'%APPDATA%\GTMHP\UXRDZ.pif' %APPDATA%\GTMHP\FNWJJ
'%APPDATA%\GTMHP\UXRDZ.pif' "PWXXY-TUB"

Запускает на исполнение:

'<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
'<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe" /t REG_SZ /d "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe:*:Enabled:Windows Messanger" /f
'<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%TEMP%\vgc.exe" /t REG_SZ /d "%TEMP%\vgc.exe:*:Enabled:Windows Messanger" /f
'<SYSTEM32>\mshta.exe'
'<SYSTEM32>\taskkill.exe' /f /IM mshta.exe
'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\GTMHP\MZHNF.qva
%APPDATA%\GTMHP\XFWNH.bff
%APPDATA%\GTMHP\POVUS.sjb
%APPDATA%\GTMHP\AZAMS.tqd
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\GTMHP\DQVHK.dts
%APPDATA%\GTMHP\XYAXQ.klo
%APPDATA%\GTMHP\IJIQR.ttg
%APPDATA%\GTMHP\QTINS.ash
%APPDATA%\GTMHP\WKYDB.ccx
%APPDATA%\GTMHP\XTPBA.ocv
%APPDATA%\GTMHP\VVIEJ.kbp
%APPDATA%\GTMHP\WPZUO.owm
%TEMP%\Cab3.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\5C8DDA36D60247082B142836039F4636
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\5C8DDA36D60247082B142836039F4636
%TEMP%\Cab5.tmp
%TEMP%\vgc.exe
%APPDATA%\GTMHP\spd
%APPDATA%\GTMHP\FNWJJ
%TEMP%\Cab1.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\DC2135CED98D8A4D7C0CEE202BB0B810
%APPDATA%\Microsoft\CryptnetUrlCache\Content\F5A17C00E427F919C4A49EEF5AD0EE53
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\F5A17C00E427F919C4A49EEF5AD0EE53
%APPDATA%\Microsoft\CryptnetUrlCache\Content\DC2135CED98D8A4D7C0CEE202BB0B810
%APPDATA%\GTMHP\BUBVO.tfm
%APPDATA%\GTMHP\SCEES.dwh
%APPDATA%\GTMHP\ZVLJF.lfc
%APPDATA%\GTMHP\MVXYO.whq
%APPDATA%\GTMHP\MTYUZ.oqg
%APPDATA%\GTMHP\MPHDN.wga
%APPDATA%\GTMHP\JDZUX.dds
%APPDATA%\GTMHP\YMQGIX
%APPDATA%\GTMHP\BAJUP.HRA
%APPDATA%\GTMHP\RSFRT.NUO
%APPDATA%\GTMHP\PWXXY-TUB
%APPDATA%\GTMHP\HUCWN.pva
%APPDATA%\GTMHP\IGLPG.pcd
%APPDATA%\GTMHP\UXRDZ.pif
%APPDATA%\GTMHP\CGCBS.sjh
%APPDATA%\GTMHP\TLMXT.otl
%APPDATA%\GTMHP\XTRPD.pst
%APPDATA%\GTMHP\VTTBQ.kcs
%APPDATA%\GTMHP\VDUAD.thr
%APPDATA%\GTMHP\XZZDG.jsx
%APPDATA%\GTMHP\AFGIY.ngk
%APPDATA%\GTMHP\FOCNQ.mcw
%APPDATA%\GTMHP\WIRRF.jmd
%APPDATA%\GTMHP\ULDTM.mhb
%APPDATA%\GTMHP\WVAAR.lvd
%APPDATA%\GTMHP\AVGQE.idj
%APPDATA%\GTMHP\DZKCM.xdl
%APPDATA%\GTMHP\MFBVW.quo

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\GTMHP\PWXXY-TUB

Удаляет следующие файлы:

%TEMP%\Cab5.tmp
%APPDATA%\GTMHP\FNWJJ
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp

Сетевая активность:

Подключается к:

'cr#.##obalsign.net':80
'ra######k.chickenkiller.com':5410
'wp#d':80
'www.download.windowsupdate.com':80

TCP:

Запросы HTTP GET:

cr#.##obalsign.net/Root.crl
cr#.##obalsign.net/primobject.crl
cr#.##obalsign.net/ObjectSign.crl
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

UDP: