Trojan.DownLoader4.27599

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '8C1274978C17F401' = 'C:\LogicDrv\LogicDrv.exe'

Вредоносные функции:

Создает и запускает на исполнение:

C:\LogicDrv\LogicDrv.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\alg.exe
<SYSTEM32>\winlogon.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\svchost.exe
<SYSTEM32>\lsass.exe

большое количество пользовательских процессов.

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1409' = '00000003'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPost' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPostRedirect' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1406' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1409' = '00000003'

Изменения в файловой системе:

Создает следующие файлы:

C:\LogicDrv\config.bin
C:\LogicDrv\LogicDrv.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'localhost':1169
'localhost':1172
'localhost':1163
'localhost':1166
'localhost':1175
'localhost':1184
'localhost':1187
'localhost':1178
'localhost':1181
'localhost':1142
'localhost':1145
'localhost':1136
'localhost':1139
'localhost':1148
'localhost':1157
'localhost':1160
'localhost':1151
'localhost':1154
'localhost':1221
'localhost':1226
'localhost':1216
'localhost':1220
'localhost':1228
'localhost':1238
'localhost':1241
'localhost':1232
'localhost':1233
'localhost':1196
'localhost':1198
'localhost':1190
'localhost':1192
'localhost':1202
'localhost':1210
'localhost':1214
'localhost':1204
'localhost':1208
'localhost':1133
'localhost':1058
'localhost':1061
'91.##3.82.20':80
'localhost':1055
'localhost':1064
'localhost':1073
'localhost':1076
'localhost':1067
'localhost':1070
'localhost':1038
'91.##3.82.20':7009
'91.##3.82.20':443
'localhost':1036
'91.##3.82.20':7008
'localhost':1049
'localhost':1048
'localhost':1042
'localhost':1043
'localhost':1112
'localhost':1115
'localhost':1106
'localhost':1109
'localhost':1118
'localhost':1127
'localhost':1130
'localhost':1121
'localhost':1124
'localhost':1085
'localhost':1088
'localhost':1079
'localhost':1082
'localhost':1091
'localhost':1100
'localhost':1103
'localhost':1094
'localhost':1097

TCP:

Запросы HTTP GET:

91.##3.82.20/account/gate.php?gu####################################################################################################################################################################################

Другое:

Ищет следующие окна: