Trojan.DownLoader9.48326

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\is-T4EE7.tmp\blueview_silent[bsxdeb].tmp' /SL5="$30130,660729,83456,%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsxdeb].exe" /norestart
'<SYSTEM32>\shoserstyr.exe'
'%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsxdeb].exe' /norestart
'<SYSTEM32>\bluesoft_gho_bsxdeb_inst.exe'
'%PROGRAM_FILES%\BlueSoft\BlueSoft.exe' autoinstall

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\install[1].1&softid=0&hid=11000000000000000001&macadd=00-00-00-00-00-01&md5=4273f608373eeb68f61e32e0a463ad5c&rand=214687
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\update.u.gsie[1].1&softid=20&hid=11000000000000000001&macadd=00-00-00-00-00-01&md5=2a513104cfea137b0e0800cf3abbc733&rand=215421
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\update.u.gsie[1].1&softid=0&hid=11000000000000000001&macadd=00-00-00-00-00-01&md5=4273f608373eeb68f61e32e0a463ad5c&rand=219703
%HOMEPATH%\Favorites\Hao123.url
%ALLUSERSPROFILE%\Desktop\А¶№вИнјюѕ«СЎ.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\А¶№вИнјюѕ«СЎ.lnk
%ALLUSERSPROFILE%\Start Menu\Programs\А¶№вИнјюѕ«СЎ\Р¶ФШ А¶№вИнјюѕ«СЎ.lnk
<SYSTEM32>\shoserstyr.exe
%TEMP%\is-0S0EJ.tmp\install.ico
%TEMP%\is-0S0EJ.tmp\mainbk.bmp
%TEMP%\is-0S0EJ.tmp\_isetup\_shfoldr.dll
%APPDATA%\BlueSoft\UpdateSet.xml
%TEMP%\is-T4EE7.tmp\blueview_silent[bsxdeb].tmp
%TEMP%\is-0S0EJ.tmp\_isetup\_RegDLL.tmp
%APPDATA%\BlueSoft\setting.ini
%PROGRAM_FILES%\BlueSoft\BlueSoft.exe
%APPDATA%\BlueSoft\softlist.xml
%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent.exe
%TEMP%\nsy2.tmp\modern-wizard.bmp
<SYSTEM32>\bluesoft_gho_bsxdeb_inst.exe
%TEMP%\nsy2.tmp\System.dll
%TEMP%\nsy2.tmp\ioSpecial.ini
%APPDATA%\BlueSoft\ExeIcon\jingdong.ico
%APPDATA%\BlueSoft\ExeIcon\taobao.ico
%PROGRAM_FILES%\BlueSoft\Uninstall.exe
%APPDATA%\BlueSoft\ExeIcon\hao123.ico
%APPDATA%\BlueSoft\ExeIcon\baidu.ico
%APPDATA%\BlueSoft\ExeIcon\blueview.ico
%APPDATA%\BlueSoft\ExeIcon\brmas.ico

Удаляет следующие файлы:

%TEMP%\nsy2.tmp\System.dll
%TEMP%\nsy2.tmp\modern-wizard.bmp
%TEMP%\nsy2.tmp\ioSpecial.ini

Перемещает следующие файлы:

%APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent.exe в %APPDATA%\BlueSoft\C86DA4AD-186C-4dc2-A540-02E7B075F714\blueview_silent[bsxdeb].exe

Сетевая активность:

Подключается к:

'up####.u.gsie.cn':80
'wp#d':80
'localhost':1045
'20#.#56.197.167':8080
'12#.#25.114.144':80

TCP:

Запросы HTTP GET:

up####.u.gsie.cn/?ve########################################################################################################################################
wp#d/wpad.dat
up####.u.gsie.cn/install/?ve########################################################################################################################################
up####.u.gsie.cn/?ve#########################################################################################################################################

UDP: