Trojan.DownLoader11.25192

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\redbook] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\Imapi] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\dtsoftbus01] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\Cdrom] 'Start' = '00000001'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\rundll32.exe' shell32.dll,Activate_RunDLL
'<SYSTEM32>\rundll32.exe' newdev.dll,ClientSideInstall \\.\pipe\PNP_Device_Install_Pipe_0.{300F10CA-7CB0-44B4-A0F1-49186757C47F}

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\Temp\OLD2.tmp
%WINDIR%\LastGood\TMP1.tmp
<Текущая директория>\Daemon Tools Pro\MODIFIED\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.cat
<DRIVERS>\SET3.tmp
<Текущая директория>\Daemon Tools Pro\MODIFIED\@WINDIR@\inf\oem9.PNF
<Текущая директория>\Daemon Tools Pro\META\@WINDIR@\inf\oem9.PNF.__meta__.__tmp__
<Текущая директория>\Daemon Tools Pro\META\@SYSWOW64@\drivers\dtsoftbus01.sys.__meta__.__tmp__
<Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.cat.__meta__.__tmp__
<Текущая директория>\Daemon Tools Pro\MODIFIED\@APPDATACOMMON@\DAEMON Tools Pro\dtpro.dat
<Текущая директория>\Daemon Tools Pro\META\@APPDATACOMMON@\DAEMON Tools Pro\dtpro.dat.__meta__.__tmp__
<Текущая директория>\Daemon Tools Pro\XSandbox.bin.__tmp__
<Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.sys.__meta__.__tmp__
<Текущая директория>\Daemon Tools Pro\MODIFIED\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.inf
<Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.inf.__meta__.__tmp__
<Текущая директория>\Daemon Tools Pro\MODIFIED\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.sys

Удаляет следующие файлы:

%WINDIR%\Temp\OLD2.tmp
<Текущая директория>\Daemon Tools Pro\META\@SYSWOW64@\drivers\dtsoftbus01.sys.__meta__

Перемещает следующие файлы:

<Текущая директория>\Daemon Tools Pro\META\@SYSWOW64@\drivers\dtsoftbus01.sys.__meta__.__tmp__ в <Текущая директория>\Daemon Tools Pro\META\@SYSWOW64@\drivers\dtsoftbus01.sys.__meta__
%WINDIR%\LastGood\TMP1.tmp в %WINDIR%\LastGood\system32\DRIVERS\dtsoftbus01.sys
<Текущая директория>\Daemon Tools Pro\META\@WINDIR@\inf\oem9.PNF.__meta__.__tmp__ в <Текущая директория>\Daemon Tools Pro\META\@WINDIR@\inf\oem9.PNF.__meta__
<DRIVERS>\SET3.tmp в <DRIVERS>\dtsoftbus01.sys
<Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.cat.__meta__.__tmp__ в <Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.cat.__meta__
<Текущая директория>\Daemon Tools Pro\META\@APPDATACOMMON@\DAEMON Tools Pro\dtpro.dat.__meta__.__tmp__ в <Текущая директория>\Daemon Tools Pro\META\@APPDATACOMMON@\DAEMON Tools Pro\dtpro.dat.__meta__
<Текущая директория>\Daemon Tools Pro\XSandbox.bin.__tmp__ в <Текущая директория>\Daemon Tools Pro\XSandbox.bin
<Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.inf.__meta__.__tmp__ в <Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.inf.__meta__
<Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.sys.__meta__.__tmp__ в <Текущая директория>\Daemon Tools Pro\META\@PROGRAMFILESX86@\Daemon Tools Pro\dtsoftbus01.sys.__meta__

Сетевая активность:

Подключается к: