Trojan.DownLoader5.35439

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\4HxZRYno3FM.exe

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\svchost.exe netsvcs
%WINDIR%\explorer.exe

Внедряет код в

следующие системные процессы:

%WINDIR%\Explorer.EXE

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\18.tmp
%TEMP%\16.tmp
%TEMP%\19.tmp
%TEMP%\17.tmp
%TEMP%\13.tmp
%TEMP%\12.tmp
%TEMP%\15.tmp
%TEMP%\14.tmp
%TEMP%\1F.tmp
%TEMP%\1E.tmp
%TEMP%\21.tmp
%TEMP%\20.tmp
%TEMP%\1B.tmp
%TEMP%\1A.tmp
%TEMP%\1D.tmp
%TEMP%\1C.tmp
%TEMP%\11.tmp
%TEMP%\6.tmp
%TEMP%\~TM5.tmp
%TEMP%\8.tmp
%TEMP%\7.tmp
%TEMP%\2.tmp
%TEMP%\1.tmp
%TEMP%\~TM4.tmp
%TEMP%\3.tmp
%TEMP%\E.tmp
%TEMP%\D.tmp
%TEMP%\10.tmp
%TEMP%\F.tmp
%TEMP%\A.tmp
%TEMP%\9.tmp
%TEMP%\C.tmp
%TEMP%\B.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

%HOMEPATH%\Start Menu\Programs\Startup\4HxZRYno3FM.exe

Удаляет следующие файлы:

%TEMP%\18.tmp
%TEMP%\16.tmp
%TEMP%\1A.tmp
%TEMP%\17.tmp
%TEMP%\12.tmp
%TEMP%\13.tmp
%TEMP%\14.tmp
%TEMP%\15.tmp
%TEMP%\20.tmp
%TEMP%\1E.tmp
%TEMP%\21.tmp
%TEMP%\1F.tmp
%TEMP%\1B.tmp
%TEMP%\19.tmp
%TEMP%\1D.tmp
%TEMP%\1C.tmp
%TEMP%\11.tmp
%TEMP%\7.tmp
%TEMP%\~TM5.tmp
%TEMP%\9.tmp
%TEMP%\8.tmp
%TEMP%\2.tmp
%TEMP%\1.tmp
%TEMP%\~TM4.tmp
%TEMP%\3.tmp
%TEMP%\F.tmp
%TEMP%\E.tmp
%TEMP%\10.tmp
%TEMP%\6.tmp
%TEMP%\B.tmp
%TEMP%\A.tmp
%TEMP%\D.tmp
%TEMP%\C.tmp

Самоудаляется.

Сетевая активность:

Подключается к:

'nn####py8hegvh.org':80

TCP:

Запросы HTTP POST:

nn####py8hegvh.org/tcjvwxyxwqmqamspypevlrcupjpjkfohbjyemoyz.cgi
nn####py8hegvh.org/kaaaa.inc
nn####py8hegvh.org/wroixxbinglgxsmverinuckybmakmxhglukchqcyjzdvlmbgqugghjooga.phtm

UDP: