Trojan.DownLoader11.45834

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=3380
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\NaksMMEM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3636
'<SYSTEM32>\cscript.exe' /pid=3612
'<SYSTEM32>\reg.exe' /pid=2464
'<SYSTEM32>\reg.exe' /pid=1368
'<SYSTEM32>\reg.exe' /c ""%TEMP%\yKMcgsYc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\PGAksMQQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3012
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\cscript.exe' /pid=3140
'<SYSTEM32>\cscript.exe' /pid=1592
'<SYSTEM32>\reg.exe' /pid=3736
'<SYSTEM32>\reg.exe' /pid=3128
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\vwoYIIUU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\cEQoIsAI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\AmUIYYAA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MqgUIgEw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MkQgYMko.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\uYMsYYsU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\lOgYcIoU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=2776
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' /pid=3976
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\DsIgQYYw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\SIksoEcQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=1148
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ZUUIsUsQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RCQUwYEg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MYYUwUoA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ckMAQQAE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\lacQkooc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\heUEwYEc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\McsUgUAw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\heMIYEsU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\jCUwoMwE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\NeUgMEAU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\RuAEkAoo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cscript.exe' /pid=1392
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\eWUwwAYs.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3156
'<SYSTEM32>\reg.exe' /pid=3280
'<SYSTEM32>\reg.exe' /pid=1860
'<SYSTEM32>\reg.exe' /c ""%TEMP%\amgocUgo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JWgQMMwk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XcsksQcE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\HuYYAYYs.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=1372
'<SYSTEM32>\reg.exe' /pid=2788
'<SYSTEM32>\cscript.exe' /pid=2776
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\tEIwMUQA.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
<SYSTEM32>\reg.exe
<SYSTEM32>\cmd.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\biAQQoIs.bat
%TEMP%\kacUAkQA.bat
<Текущая директория>\YoQG.exe
<Текущая директория>\uOws.ico
C:\RCX15.tmp
%TEMP%\eyEwYggI.bat
C:\RCX14.tmp
<Текущая директория>\hMQu.exe
<Текущая директория>\ySIU.ico
C:\RCX16.tmp
%TEMP%\juUAsYcw.bat
%TEMP%\DsIgQYYw.bat
<Текущая директория>\hMsk.exe
<Текущая директория>\uaoQ.ico
C:\RCX17.tmp
%TEMP%\UoUwQMYE.bat
%TEMP%\yKMcgsYc.bat
<Текущая директория>\rEAG.exe
<Текущая директория>\JsQc.ico
<Текущая директория>\pQUU.exe
%TEMP%\ySogkMwY.bat
%TEMP%\eWUwwAYs.bat
<Текущая директория>\WQUs.exe
<Текущая директория>\rsQc.ico
C:\RCX11.tmp
%TEMP%\QCsEcgoY.bat
%TEMP%\tEIwMUQA.bat
<Текущая директория>\KYYw.exe
<Текущая директория>\WGEs.ico
C:\RCX12.tmp
%TEMP%\QscEcAII.bat
C:\RCX13.tmp
<Текущая директория>\fAkQ.ico
%TEMP%\NaksMMEM.bat
<Текущая директория>\NAIe.exe
%TEMP%\hKQUIYsw.bat
%TEMP%\amgocUgo.bat
<Текущая директория>\Dmcg.ico
%TEMP%\PGAksMQQ.bat
C:\RCX18.tmp
%TEMP%\GeAAwYoI.bat
%TEMP%\MqgUIgEw.bat
<Текущая директория>\zMYU.exe
<Текущая директория>\nscA.ico
C:\RCX1D.tmp
%TEMP%\EwggcEIM.bat
%TEMP%\vwoYIIUU.bat
<Текущая директория>\UUks.exe
<Текущая директория>\TSYs.ico
C:\RCX1E.tmp
%TEMP%\iEMMcMcg.bat
C:\RCX1F.tmp
%TEMP%\cqUUoIYw.bat
%TEMP%\MkQgYMko.bat
<Текущая директория>\ngkw.exe
%TEMP%\MCAsAwAk.bat
%TEMP%\lOgYcIoU.bat
<Текущая директория>\uGwc.ico
%TEMP%\uYMsYYsU.bat
C:\RCX1C.tmp
%TEMP%\YQwAgUYE.bat
%TEMP%\SIksoEcQ.bat
<Текущая директория>\FUEu.exe
<Текущая директория>\XKss.ico
C:\RCX19.tmp
%TEMP%\vgoUUoMU.bat
%TEMP%\ZUUIsUsQ.bat
<Текущая директория>\qMgw.exe
<Текущая директория>\tygI.ico
C:\RCX1A.tmp
%TEMP%\zycQEAwM.bat
%TEMP%\cEQoIsAI.bat
<Текущая директория>\uMki.exe
<Текущая директория>\CuMI.ico
C:\RCX1B.tmp
%TEMP%\KukAogIY.bat
%TEMP%\AmUIYYAA.bat
<Текущая директория>\PUkM.exe
<Текущая директория>\LIkU.ico
C:\RCX10.tmp
C:\RCX5.tmp
<Текущая директория>\fkwk.exe
<Текущая директория>\RGso.ico
%TEMP%\ckMAQQAE.bat
<Текущая директория>\heQg.ico
<Текущая директория>\IUQq.exe
<Текущая директория>\kIkk.ico
%TEMP%\FWgwwIEo.bat
C:\RCX4.tmp
<Текущая директория>\PgYK.exe
%TEMP%\lkkYoUQA.bat
%TEMP%\MYYUwUoA.bat
<Текущая директория>\lUQI.exe
<Текущая директория>\YqUg.ico
C:\RCX7.tmp
%TEMP%\GasQAUQk.bat
C:\RCX6.tmp
<Текущая директория>\AsoY.exe
<Текущая директория>\cyoU.ico
C:\RCX3.tmp
%TEMP%\EgQUQsQk.bat
%TEMP%\file.vbs
<Текущая директория>\tCok.ico
%TEMP%\RuAEkAoo.bat
%TEMP%\jCUwoMwE.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
<Текущая директория>\<Имя вируса>
%TEMP%\aOkMAEgs.bat
<Текущая директория>\qwQO.exe
%TEMP%\NeUgMEAU.bat
C:\RCX2.tmp
<Текущая директория>\GUkK.exe
<Текущая директория>\xIgw.ico
<Текущая директория>\gEok.exe
%TEMP%\CqAMYsgE.bat
C:\RCX1.tmp
<Текущая директория>\kkcU.ico
%ALLUSERSPROFILE%\casg.txt
C:\RCX8.tmp
<Текущая директория>\VIgk.ico
%TEMP%\GIMswMYo.bat
<Текущая директория>\TEMm.exe
%TEMP%\HuYYAYYs.bat
C:\RCXD.tmp
%TEMP%\heUEwYEc.bat
%TEMP%\SIgkoQkc.bat
<Текущая директория>\nEok.exe
<Текущая директория>\ESII.ico
C:\RCXE.tmp
%TEMP%\jSUMsMkk.bat
%TEMP%\JWgQMMwk.bat
<Текущая директория>\hUkU.exe
<Текущая директория>\kCsU.ico
C:\RCXF.tmp
<Текущая директория>\eksy.exe
<Текущая директория>\WwQo.ico
%TEMP%\DaUYcAcc.bat
%TEMP%\XcsksQcE.bat
C:\RCXC.tmp
%TEMP%\VWkQscoE.bat
C:\RCX9.tmp
<Текущая директория>\RoAe.exe
<Текущая директория>\JWMw.ico
%TEMP%\lacQkooc.bat
%TEMP%\aiIwEYoo.bat
%TEMP%\RCQUwYEg.bat
<Текущая директория>\bEYQ.exe
<Текущая директория>\xiYM.ico
C:\RCXA.tmp
C:\RCXB.tmp
<Текущая директория>\LQoY.exe
<Текущая директория>\BUUG.exe
<Текущая директория>\wAsI.ico
<Текущая директория>\GckM.ico
%TEMP%\heMIYEsU.bat
%TEMP%\QqssIsIM.bat
%TEMP%\GkAMkwAw.bat
%TEMP%\McsUgUAw.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\YoQG.exe
%TEMP%\UoUwQMYE.bat
<Текущая директория>\uOws.ico
<Текущая директория>\hMQu.exe
<Текущая директория>\ySIU.ico
%TEMP%\biAQQoIs.bat
%TEMP%\yKMcgsYc.bat
%TEMP%\kacUAkQA.bat
<Текущая директория>\hMsk.exe
<Текущая директория>\rEAG.exe
<Текущая директория>\JsQc.ico
%TEMP%\juUAsYcw.bat
<Текущая директория>\WQUs.exe
<Текущая директория>\rsQc.ico
%TEMP%\QscEcAII.bat
<Текущая директория>\KYYw.exe
<Текущая директория>\WGEs.ico
%TEMP%\hKQUIYsw.bat
%TEMP%\eyEwYggI.bat
<Текущая директория>\pQUU.exe
<Текущая директория>\fAkQ.ico
<Текущая директория>\NAIe.exe
<Текущая директория>\Dmcg.ico
%TEMP%\amgocUgo.bat
<Текущая директория>\TSYs.ico
%TEMP%\GeAAwYoI.bat
%TEMP%\MCAsAwAk.bat
<Текущая директория>\CuMI.ico
%TEMP%\EwggcEIM.bat
<Текущая директория>\UUks.exe
<Текущая директория>\ngkw.exe
<Текущая директория>\uGwc.ico
%TEMP%\cqUUoIYw.bat
<Текущая директория>\zMYU.exe
<Текущая директория>\nscA.ico
%TEMP%\iEMMcMcg.bat
<Текущая директория>\tygI.ico
%TEMP%\YQwAgUYE.bat
<Текущая директория>\FUEu.exe
<Текущая директория>\uaoQ.ico
%TEMP%\vgoUUoMU.bat
<Текущая директория>\qMgw.exe
<Текущая директория>\LIkU.ico
%TEMP%\zycQEAwM.bat
<Текущая директория>\uMki.exe
<Текущая директория>\XKss.ico
%TEMP%\KukAogIY.bat
<Текущая директория>\PUkM.exe
<Текущая директория>\PgYK.exe
<Текущая директория>\RGso.ico
<Текущая директория>\AsoY.exe
<Текущая директория>\fkwk.exe
<Текущая директория>\heQg.ico
%TEMP%\GasQAUQk.bat
<Текущая директория>\lUQI.exe
<Текущая директория>\YqUg.ico
%TEMP%\VWkQscoE.bat
%TEMP%\lkkYoUQA.bat
<Текущая директория>\cyoU.ico
%TEMP%\aiIwEYoo.bat
<Текущая директория>\qwQO.exe
<Текущая директория>\tCok.ico
<Текущая директория>\gEok.exe
%TEMP%\aOkMAEgs.bat
%TEMP%\EgQUQsQk.bat
%TEMP%\CqAMYsgE.bat
%TEMP%\FWgwwIEo.bat
<Текущая директория>\IUQq.exe
<Текущая директория>\kIkk.ico
<Текущая директория>\kkcU.ico
<Текущая директория>\GUkK.exe
<Текущая директория>\xIgw.ico
<Текущая директория>\VIgk.ico
%TEMP%\DaUYcAcc.bat
<Текущая директория>\eksy.exe
<Текущая директория>\ESII.ico
%TEMP%\GIMswMYo.bat
<Текущая директория>\TEMm.exe
<Текущая директория>\kCsU.ico
%TEMP%\QCsEcgoY.bat
%TEMP%\ySogkMwY.bat
<Текущая директория>\WwQo.ico
%TEMP%\jSUMsMkk.bat
<Текущая директория>\hUkU.exe
<Текущая директория>\RoAe.exe
<Текущая директория>\JWMw.ico
%TEMP%\GkAMkwAw.bat
<Текущая директория>\bEYQ.exe
<Текущая директория>\xiYM.ico
%TEMP%\QqssIsIM.bat
<Текущая директория>\BUUG.exe
<Текущая директория>\wAsI.ico
<Текущая директория>\nEok.exe
<Текущая директория>\LQoY.exe
<Текущая директория>\GckM.ico
%TEMP%\SIgkoQkc.bat

Перемещает следующие файлы:

C:\RCX15.tmp в <Текущая директория>\hMQu.exe
C:\RCX16.tmp в <Текущая директория>\YoQG.exe
C:\RCX17.tmp в <Текущая директория>\rEAG.exe
C:\RCX14.tmp в <Текущая директория>\pQUU.exe
C:\RCX11.tmp в <Текущая директория>\KYYw.exe
C:\RCX12.tmp в <Текущая директория>\WQUs.exe
C:\RCX13.tmp в <Текущая директория>\NAIe.exe
C:\RCX18.tmp в <Текущая директория>\hMsk.exe
C:\RCX1D.tmp в <Текущая директория>\UUks.exe
C:\RCX1E.tmp в <Текущая директория>\zMYU.exe
C:\RCX1F.tmp в <Текущая директория>\ngkw.exe
C:\RCX1C.tmp в <Текущая директория>\uMki.exe
C:\RCX19.tmp в <Текущая директория>\qMgw.exe
C:\RCX1A.tmp в <Текущая директория>\FUEu.exe
C:\RCX1B.tmp в <Текущая директория>\PUkM.exe
C:\RCX10.tmp в <Текущая директория>\hUkU.exe
C:\RCX5.tmp в <Текущая директория>\fkwk.exe
C:\RCX6.tmp в <Текущая директория>\PgYK.exe
C:\RCX7.tmp в <Текущая директория>\AsoY.exe
C:\RCX4.tmp в <Текущая директория>\IUQq.exe
C:\RCX1.tmp в <Текущая директория>\qwQO.exe
C:\RCX2.tmp в <Текущая директория>\gEok.exe
C:\RCX3.tmp в <Текущая директория>\GUkK.exe
C:\RCX8.tmp в <Текущая директория>\lUQI.exe
C:\RCXD.tmp в <Текущая директория>\nEok.exe
C:\RCXE.tmp в <Текущая директория>\TEMm.exe
C:\RCXF.tmp в <Текущая директория>\eksy.exe
C:\RCXC.tmp в <Текущая директория>\BUUG.exe
C:\RCX9.tmp в <Текущая директория>\bEYQ.exe
C:\RCXA.tmp в <Текущая директория>\RoAe.exe
C:\RCXB.tmp в <Текущая директория>\LQoY.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'19#.#86.45.170':9999
'74.##5.232.51':80
'20#.#7.164.69':9999
'20#.#19.204.12':9999

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'aeEkEEcE.exe'
ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: 'Indicator' WindowName: ''

Технології

Терміни

Навчання

Міфи

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней