Trojan.DownLoader11.45448

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\cmd.exe' /c ""%TEMP%\VewccMMk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\bMQYwQQg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\cqsQUAQE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\EWMgwQMg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dIUosQws.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\XgQsoccg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\jmMccwMM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\YoMokwoI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /c ""%TEMP%\NokkUYwI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\UWUEkckI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cscript.exe' /c ""%TEMP%\WUgwcAYo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\DmIwYooQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\uokYgogg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MUQkMEcw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\VcAMowAc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\QuYUgMIc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\UocEsIAY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\mskcUIUw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JUEYEUUw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\EwYgIAcU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\icswEQcQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\qMYgYQoo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\CIYUwAIM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\zOAIIAYg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\IEUAMUAI.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\AOQEcAYA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\GGYUMQYk.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\JocE.ico
%TEMP%\ryEMEIEc.bat
C:\RCX17.tmp
<Текущая директория>\gQYs.exe
%TEMP%\YoMokwoI.bat
<Текущая директория>\EQIs.ico
%TEMP%\QosEwQMU.bat
C:\RCX16.tmp
<Текущая директория>\Usga.exe
%TEMP%\jmMccwMM.bat
<Текущая директория>\doMK.exe
<Текущая директория>\meks.ico
C:\RCX19.tmp
%TEMP%\ykAAcIwI.bat
%TEMP%\bMQYwQQg.bat
<Текущая директория>\UQYg.ico
%TEMP%\iaQwYgkU.bat
C:\RCX18.tmp
<Текущая директория>\Jkke.exe
%TEMP%\dIUosQws.bat
<Текущая директория>\ioow.ico
%TEMP%\DKEQEAAs.bat
C:\RCX13.tmp
<Текущая директория>\CIoq.exe
C:\RCX12.tmp
%TEMP%\qMYgYQoo.bat
%TEMP%\CIYUwAIM.bat
<Текущая директория>\joEI.exe
<Текущая директория>\xIMY.ico
%TEMP%\MUQkMEcw.bat
C:\RCX15.tmp
<Текущая директория>\YYYq.exe
%TEMP%\XgQsoccg.bat
%TEMP%\CqsswIEg.bat
<Текущая директория>\UMAw.ico
<Текущая директория>\XqoA.ico
%TEMP%\nyAMckkg.bat
C:\RCX14.tmp
<Текущая директория>\ecwg.exe
%TEMP%\VewccMMk.bat
%TEMP%\UWUEkckI.bat
C:\RCX1E.tmp
<Текущая директория>\fQoW.exe
<Текущая директория>\VsgM.ico
%TEMP%\OqgEwYos.bat
<Текущая директория>\VOMo.ico
%TEMP%\JGUMsoQw.bat
%TEMP%\uokYgogg.bat
<Текущая директория>\CQMu.exe
C:\RCX1F.tmp
%TEMP%\YYgIwIAo.bat
C:\RCX20.tmp
%TEMP%\imQUIokw.bat
%TEMP%\EKgYYoAo.bat
%TEMP%\WUgwcAYo.bat
%TEMP%\wyoYMMgo.bat
%TEMP%\CgkMUscU.bat
<Текущая директория>\UIEk.exe
<Текущая директория>\dakE.ico
%TEMP%\DmIwYooQ.bat
C:\RCX1A.tmp
%TEMP%\cqsQUAQE.bat
<Текущая директория>\ngEC.exe
<Текущая директория>\FOoY.ico
<Текущая директория>\AwAw.exe
%TEMP%\EWMgwQMg.bat
%TEMP%\GKgIwYkc.bat
%TEMP%\dQMooQAQ.bat
<Текущая директория>\KqkY.ico
C:\RCX1B.tmp
<Текущая директория>\ciIY.ico
%TEMP%\NggoYIsM.bat
C:\RCX1D.tmp
<Текущая директория>\UEEA.exe
%TEMP%\NokkUYwI.bat
<Текущая директория>\jygw.ico
%TEMP%\bWosAIMc.bat
C:\RCX1C.tmp
<Текущая директория>\dIYk.exe
%TEMP%\IoUQsowo.bat
%TEMP%\JUEYEUUw.bat
C:\RCX4.tmp
<Текущая директория>\ssMy.exe
<Текущая директория>\PuAg.ico
<Текущая директория>\jogY.exe
C:\RCX3.tmp
<Текущая директория>\BMMY.exe
<Текущая директория>\rOEU.ico
%TEMP%\oGIkcMEc.bat
C:\RCX5.tmp
%TEMP%\IEUAMUAI.bat
<Текущая директория>\DMwW.exe
%TEMP%\ckYogQQI.bat
C:\RCX7.tmp
<Текущая директория>\jsIA.ico
<Текущая директория>\fyAo.ico
%TEMP%\nYIsYwko.bat
C:\RCX6.tmp
<Текущая директория>\SQog.exe
<Текущая директория>\nmYI.ico
%TEMP%\XqsIkIME.bat
%TEMP%\file.vbs
%TEMP%\CqEIkYUk.bat
%TEMP%\VcAMowAc.bat
%TEMP%\mskcUIUw.bat
%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
<Текущая директория>\<Имя вируса>
%TEMP%\skMQoIoE.bat
%TEMP%\UocEsIAY.bat
<Текущая директория>\cgIk.exe
<Текущая директория>\Lqsw.ico
%TEMP%\QuYUgMIc.bat
C:\RCX2.tmp
%ALLUSERSPROFILE%\casg.txt
%TEMP%\boIQsQUo.bat
<Текущая директория>\CWss.ico
C:\RCX1.tmp
<Текущая директория>\BUQA.exe
<Текущая директория>\ysww.ico
%TEMP%\icswEQcQ.bat
<Текущая директория>\jggO.exe
<Текущая директория>\ZeAE.ico
C:\RCXE.tmp
<Текущая директория>\VUQY.ico
<Текущая директория>\xEYQ.exe
<Текущая директория>\FqwI.ico
%TEMP%\IigUsoAw.bat
C:\RCXD.tmp
<Текущая директория>\Wkom.exe
<Текущая директория>\bAwE.ico
C:\RCX10.tmp
C:\RCX11.tmp
<Текущая директория>\XsQy.exe
<Текущая директория>\ksge.exe
%TEMP%\SYoYcEks.bat
C:\RCXF.tmp
<Текущая директория>\wkQI.ico
%TEMP%\EwYgIAcU.bat
C:\RCXC.tmp
%TEMP%\zOAIIAYg.bat
%TEMP%\aEwMwcYk.bat
<Текущая директория>\SMoO.exe
<Текущая директория>\iKAU.ico
C:\RCX9.tmp
C:\RCX8.tmp
<Текущая директория>\qUsW.exe
<Текущая директория>\VYwU.exe
<Текущая директория>\SCUU.ico
C:\RCXA.tmp
<Текущая директория>\RUoY.ico
%TEMP%\AOQEcAYA.bat
%TEMP%\EoIUQgsw.bat
<Текущая директория>\jMcI.exe
C:\RCXB.tmp
<Текущая директория>\kSUE.ico
%TEMP%\VOswIUwA.bat
%TEMP%\GGYUMQYk.bat
<Текущая директория>\lIYe.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\gQYs.exe
<Текущая директория>\JocE.ico
%TEMP%\ryEMEIEc.bat
<Текущая директория>\Usga.exe
<Текущая директория>\EQIs.ico
%TEMP%\iaQwYgkU.bat
<Текущая директория>\doMK.exe
<Текущая директория>\meks.ico
%TEMP%\ykAAcIwI.bat
<Текущая директория>\Jkke.exe
<Текущая директория>\UQYg.ico
%TEMP%\QosEwQMU.bat
<Текущая директория>\CIoq.exe
<Текущая директория>\ioow.ico
%TEMP%\DKEQEAAs.bat
<Текущая директория>\joEI.exe
<Текущая директория>\xIMY.ico
%TEMP%\nyAMckkg.bat
<Текущая директория>\YYYq.exe
<Текущая директория>\UMAw.ico
%TEMP%\CqsswIEg.bat
<Текущая директория>\ecwg.exe
<Текущая директория>\XqoA.ico
<Текущая директория>\VOMo.ico
<Текущая директория>\fQoW.exe
<Текущая директория>\CQMu.exe
<Текущая директория>\ciIY.ico
%TEMP%\OqgEwYos.bat
<Текущая директория>\VsgM.ico
%TEMP%\YYgIwIAo.bat
<Текущая директория>\UIEk.exe
%TEMP%\wyoYMMgo.bat
%TEMP%\CgkMUscU.bat
%TEMP%\NokkUYwI.bat
<Текущая директория>\UEEA.exe
<Текущая директория>\KqkY.ico
<Текущая директория>\ngEC.exe
<Текущая директория>\AwAw.exe
%TEMP%\GKgIwYkc.bat
%TEMP%\dQMooQAQ.bat
<Текущая директория>\FOoY.ico
%TEMP%\NggoYIsM.bat
%TEMP%\JGUMsoQw.bat
<Текущая директория>\jygw.ico
%TEMP%\bWosAIMc.bat
<Текущая директория>\dIYk.exe
<Текущая директория>\bAwE.ico
%TEMP%\nYIsYwko.bat
<Текущая директория>\SQog.exe
<Текущая директория>\PuAg.ico
<Текущая директория>\rOEU.ico
<Текущая директория>\ssMy.exe
<Текущая директория>\fyAo.ico
<Текущая директория>\qUsW.exe
<Текущая директория>\ysww.ico
%TEMP%\ckYogQQI.bat
<Текущая директория>\DMwW.exe
<Текущая директория>\jsIA.ico
<Текущая директория>\jogY.exe
<Текущая директория>\BUQA.exe
<Текущая директория>\CWss.ico
%TEMP%\CqEIkYUk.bat
%TEMP%\skMQoIoE.bat
%TEMP%\XqsIkIME.bat
%TEMP%\boIQsQUo.bat
<Текущая директория>\BMMY.exe
<Текущая директория>\nmYI.ico
%TEMP%\oGIkcMEc.bat
<Текущая директория>\cgIk.exe
<Текущая директория>\Lqsw.ico
<Текущая директория>\VUQY.ico
<Текущая директория>\Wkom.exe
<Текущая директория>\jggO.exe
<Текущая директория>\FqwI.ico
%TEMP%\IigUsoAw.bat
<Текущая директория>\ZeAE.ico
%TEMP%\IoUQsowo.bat
<Текущая директория>\XsQy.exe
<Текущая директория>\wkQI.ico
%TEMP%\SYoYcEks.bat
<Текущая директория>\ksge.exe
<Текущая директория>\xEYQ.exe
<Текущая директория>\SMoO.exe
<Текущая директория>\iKAU.ico
<Текущая директория>\SCUU.ico
%TEMP%\aEwMwcYk.bat
<Текущая директория>\VYwU.exe
%TEMP%\VOswIUwA.bat
%TEMP%\EoIUQgsw.bat
<Текущая директория>\RUoY.ico
<Текущая директория>\jMcI.exe
<Текущая директория>\lIYe.exe
<Текущая директория>\kSUE.ico

Перемещает следующие файлы:

C:\RCX16.tmp в <Текущая директория>\Usga.exe
C:\RCX15.tmp в <Текущая директория>\YYYq.exe
C:\RCX18.tmp в <Текущая директория>\Jkke.exe
C:\RCX17.tmp в <Текущая директория>\gQYs.exe
C:\RCX12.tmp в <Текущая директория>\joEI.exe
C:\RCX11.tmp в <Текущая директория>\XsQy.exe
C:\RCX14.tmp в <Текущая директория>\ecwg.exe
C:\RCX13.tmp в <Текущая директория>\CIoq.exe
C:\RCX1E.tmp в <Текущая директория>\CQMu.exe
C:\RCX1D.tmp в <Текущая директория>\UEEA.exe
C:\RCX20.tmp в <Текущая директория>\UIEk.exe
C:\RCX1F.tmp в <Текущая директория>\fQoW.exe
C:\RCX1A.tmp в <Текущая директория>\AwAw.exe
C:\RCX19.tmp в <Текущая директория>\doMK.exe
C:\RCX1C.tmp в <Текущая директория>\dIYk.exe
C:\RCX1B.tmp в <Текущая директория>\ngEC.exe
C:\RCX6.tmp в <Текущая директория>\SQog.exe
C:\RCX5.tmp в <Текущая директория>\ssMy.exe
C:\RCX8.tmp в <Текущая директория>\qUsW.exe
C:\RCX7.tmp в <Текущая директория>\DMwW.exe
C:\RCX2.tmp в <Текущая директория>\cgIk.exe
C:\RCX1.tmp в <Текущая директория>\BUQA.exe
C:\RCX4.tmp в <Текущая директория>\jogY.exe
C:\RCX3.tmp в <Текущая директория>\BMMY.exe
C:\RCXE.tmp в <Текущая директория>\jggO.exe
C:\RCXD.tmp в <Текущая директория>\xEYQ.exe
C:\RCX10.tmp в <Текущая директория>\ksge.exe
C:\RCXF.tmp в <Текущая директория>\Wkom.exe
C:\RCXA.tmp в <Текущая директория>\SMoO.exe
C:\RCX9.tmp в <Текущая директория>\VYwU.exe
C:\RCXC.tmp в <Текущая директория>\jMcI.exe
C:\RCXB.tmp в <Текущая директория>\lIYe.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'19#.#86.45.170':9999
'74.##5.232.51':80
'20#.#7.164.69':9999
'20#.#19.204.12':9999

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: 'aeEkEEcE.exe'

Технології

Терміни

Навчання

Міфи

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней