Trojan.DownLoader12.918

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Classes\zkPlatweb\shell\open\command] '' = '"%PROGRAM_FILES%\zkPlat\zkPlatAp.exe" "%1"'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\zkPlat\czwCheck.exe' = '%PROGRAM_FILES%\zkPlat\czwCheck.exe:*:Enabled:czwCheck'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\zkPlat\zkPlat.exe' = '%PROGRAM_FILES%\zkPlat\zkPlat.exe:*:Enabled:ХЫїЫЖЅМЁНш'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\zkPlat\zkPlatAp.exe' = '%PROGRAM_FILES%\zkPlat\zkPlatAp.exe:*:Enabled:ХЫїЫЖЅМЁНш App'

Создает и запускает на исполнение:

'%PROGRAM_FILES%\zkPlat\zkPlatAp.exe'
'%TEMP%\is-1TQ00.tmp\<Имя вируса>_install.tmp' /SL5="$30092,1818781,136192,<Текущая директория>\<Имя вируса>_install.exe" /VERYSILENT
'<Текущая директория>\<Имя вируса>_install.exe' /VERYSILENT

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\zkPlat\is-6PASF.tmp
%PROGRAM_FILES%\zkPlat\is-6P45N.tmp
%PROGRAM_FILES%\zkPlat\is-H98MF.tmp
%PROGRAM_FILES%\zkPlat\plugins\is-RTP88.tmp
%PROGRAM_FILES%\zkPlat\config\is-2JJ1N.tmp
%PROGRAM_FILES%\zkPlat\is-HFKL6.tmp
%PROGRAM_FILES%\zkPlat\is-QDFIA.tmp
%PROGRAM_FILES%\zkPlat\is-NT5IR.tmp
%PROGRAM_FILES%\zkPlat\is-5TCJD.tmp
%PROGRAM_FILES%\zkPlat\is-I5NJD.tmp
%HOMEPATH%\Desktop\zkPlat sale.lnk
%PROGRAM_FILES%\zkPlat\config\config.ini
%PROGRAM_FILES%\zkPlat\config\oper.bmx
%PROGRAM_FILES%\zkPlat\config\CfgTmp.zip
%PROGRAM_FILES%\zkPlat\top_box.bmp
%PROGRAM_FILES%\zkPlat\plugins\is-RD9RT.tmp
%PROGRAM_FILES%\zkPlat\plugins\is-CNSG5.tmp
%ALLUSERSPROFILE%\Start Menu\Programs\zkPlat\zkPlat sale.lnk
%PROGRAM_FILES%\zkPlat\unins000.dat
%ALLUSERSPROFILE%\Start Menu\Programs\zkPlat\Uninstall ХЫїЫЖЅМЁНш.lnk
%TEMP%\is-SN9F2.tmp\MgRecommend.dll
%TEMP%\is-SN9F2.tmp\myStat.dll
%TEMP%\is-SN9F2.tmp\setup.jpg
%TEMP%\is-SN9F2.tmp\top_box.jpg
%TEMP%\is-SN9F2.tmp\left_box.bmp
%TEMP%\is-1TQ00.tmp\<Имя вируса>_install.tmp
<Текущая директория>\<Имя вируса>_install.exe
%TEMP%\is-SN9F2.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-SN9F2.tmp\jpg2bmp.dll
%TEMP%\is-SN9F2.tmp\_isetup\_shfoldr.dll
%PROGRAM_FILES%\zkPlat\is-IFI3L.tmp
%PROGRAM_FILES%\zkPlat\is-5FKPE.tmp
%PROGRAM_FILES%\zkPlat\is-791GU.tmp
%PROGRAM_FILES%\zkPlat\is-HQ12V.tmp
%PROGRAM_FILES%\zkPlat\is-DC6MI.tmp
%TEMP%\is-SN9F2.tmp\top_box.bmp
%TEMP%\is-SN9F2.tmp\setup.bmp
%PROGRAM_FILES%\zkPlat\is-ENE0M.tmp
%PROGRAM_FILES%\zkPlat\is-522UR.tmp
%PROGRAM_FILES%\zkPlat\is-I9JN6.tmp

Удаляет следующие файлы:

%TEMP%\is-SN9F2.tmp\_isetup\_RegDLL.tmp
%TEMP%\is-SN9F2.tmp\_isetup\_shfoldr.dll
%TEMP%\is-SN9F2.tmp\top_box.bmp
%TEMP%\is-SN9F2.tmp\top_box.jpg
%TEMP%\is-1TQ00.tmp\<Имя вируса>_install.tmp
<Текущая директория>\<Имя вируса>_install.exe
%PROGRAM_FILES%\zkPlat\config\CfgTmp.zip
%PROGRAM_FILES%\zkPlat\config\init.config.ini
%TEMP%\is-SN9F2.tmp\jpg2bmp.dll
%TEMP%\is-SN9F2.tmp\left_box.bmp
%PROGRAM_FILES%\zkPlat\zkPlat.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tongji[1].html
%TEMP%\is-SN9F2.tmp\setup.bmp
%TEMP%\is-SN9F2.tmp\setup.jpg
%TEMP%\is-SN9F2.tmp\MgRecommend.dll
%TEMP%\is-SN9F2.tmp\myStat.dll

Перемещает следующие файлы:

%PROGRAM_FILES%\zkPlat\is-6P45N.tmp в %PROGRAM_FILES%\zkPlat\sqlite3.dll
%PROGRAM_FILES%\zkPlat\is-6PASF.tmp в %PROGRAM_FILES%\zkPlat\zkPlat.exe
%PROGRAM_FILES%\zkPlat\is-5TCJD.tmp в %PROGRAM_FILES%\zkPlat\ppxa.dll
%PROGRAM_FILES%\zkPlat\is-NT5IR.tmp в %PROGRAM_FILES%\zkPlat\msvcr71.dll
%PROGRAM_FILES%\zkPlat\is-I5NJD.tmp в %PROGRAM_FILES%\zkPlat\myStat.dll
%PROGRAM_FILES%\zkPlat\plugins\is-CNSG5.tmp в %PROGRAM_FILES%\zkPlat\plugins\DtMgr.dll
%PROGRAM_FILES%\zkPlat\plugins\is-RD9RT.tmp в %PROGRAM_FILES%\zkPlat\plugins\MGeneral.dll
%PROGRAM_FILES%\zkPlat\plugins\is-RTP88.tmp в %PROGRAM_FILES%\zkPlat\plugins\dexp.dat
%PROGRAM_FILES%\zkPlat\is-H98MF.tmp в %PROGRAM_FILES%\zkPlat\zkPlatAp.exe
%PROGRAM_FILES%\zkPlat\config\is-2JJ1N.tmp в %PROGRAM_FILES%\zkPlat\config\init.config.ini
%PROGRAM_FILES%\zkPlat\is-5FKPE.tmp в %PROGRAM_FILES%\zkPlat\FSSaleurl.url
%PROGRAM_FILES%\zkPlat\is-IFI3L.tmp в %PROGRAM_FILES%\zkPlat\jpg2bmp.dll
%PROGRAM_FILES%\zkPlat\is-522UR.tmp в %PROGRAM_FILES%\zkPlat\czwCheck.exe
%PROGRAM_FILES%\zkPlat\is-ENE0M.tmp в %PROGRAM_FILES%\zkPlat\unins000.exe
%PROGRAM_FILES%\zkPlat\is-I9JN6.tmp в %PROGRAM_FILES%\zkPlat\zkPlat.exe
%PROGRAM_FILES%\zkPlat\is-QDFIA.tmp в %PROGRAM_FILES%\zkPlat\msvcp71.dll
%PROGRAM_FILES%\zkPlat\is-HFKL6.tmp в %PROGRAM_FILES%\zkPlat\msvcr110.dll
%PROGRAM_FILES%\zkPlat\is-HQ12V.tmp в %PROGRAM_FILES%\zkPlat\msvcp110.dll
%PROGRAM_FILES%\zkPlat\is-791GU.tmp в %PROGRAM_FILES%\zkPlat\MFC71.dll
%PROGRAM_FILES%\zkPlat\is-DC6MI.tmp в %PROGRAM_FILES%\zkPlat\MgRecommend.dll

Сетевая активность:

Подключается к:

'co##.##ngmangxuan.com':80
'cl####.bangmangxuan.com':80

TCP:

Запросы HTTP GET:

co##.##ngmangxuan.com/conf/cfg.zip
cl####.bangmangxuan.com/tongji.html?v=######################################################################################

UDP: