Trojan.DownLoader6.34399

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

Создает следующие сервисы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe' = '%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe:*:Enabled:RemoteZilla-Server'

Создает и запускает на исполнение:

%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe
%PROGRAM_FILES%\RZ2.1.0201205121648\RZHelper.exe
%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe -install
%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe -service_run
%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe -service
%TEMP%\nsj6.tmp\nsB.tmp "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe" "RemoteZilla-Server" ENABLE
%TEMP%\nsj6.tmp\ns7.tmp "sc.exe" delete RZ_Service
%TEMP%\nsg3.tmp\RZ_menasci.selfip.com_7777.exe /37347671203719802165_Metro Valley Computer Solutions/0
%TEMP%\nsj6.tmp\ns8.tmp "net.exe" stop RZ_Service
%TEMP%\nsj6.tmp\nsA.tmp "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe" "RemoteZilla-Server" ENABLE ALL
%TEMP%\nsj6.tmp\ns9.tmp "%PROGRAM_FILES%\RZ2.1.0201205121648\Uninst.exe"

Запускает на исполнение:

<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe" "RemoteZilla-Server" ENABLE ALL
<SYSTEM32>\netsh.exe firewall add allowedprogram "%PROGRAM_FILES%\RZ2.1.0201205121648\RemoteZilla.exe" "RemoteZilla-Server" ENABLE
<SYSTEM32>\net1.exe start "RZ_Service"
<SYSTEM32>\sc.exe delete RZ_Service
<SYSTEM32>\net.exe stop RZ_Service
<SYSTEM32>\net1.exe stop RZ_Service

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsj6.tmp\nsB.tmp
%TEMP%\nsj6.tmp\nsA.tmp
%PROGRAM_FILES%\RZ2.1.0201205121648\Uninst.exe
%PROGRAM_FILES%\RZ2.1.0201205121648\StopRZ.reg
%TEMP%\nsg3.tmp\ToolBox\RZ2.1.0.txt
%TEMP%\nsj6.tmp\cad.exe
%TEMP%\nsj6.tmp\RemoteZilla.exe
%TEMP%\nsg3.tmp\Configs\RZ2.1.0.txt
%TEMP%\nsj6.tmp\VidCap.dll
%TEMP%\3719802165.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\3719802165[1].txt
<SYSTEM32>\config\systemprofile\Local Settings\Temp\3719802165.txt
<SYSTEM32>\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\6YQRA29M\3719802165[1].txt
%PROGRAM_FILES%\RZ2.1.0201205121648\RZ.txt
%HOMEPATH%\Desktop\ToolBox 2.1.0.0.lnk
%HOMEPATH%\Desktop\Stop Remote Support.lnk
%PROGRAM_FILES%\RZ2.1.0201205121648\ToolBox\RemoteZilla.lnk
%PROGRAM_FILES%\RZ2.1.0201205121648\ToolBox\RZHelper.lnk
%TEMP%\nsj6.tmp\ns9.tmp
%TEMP%\nsg3.tmp\stop.ico
%TEMP%\nsg3.tmp\Icon2.ico
%TEMP%\nsg3.tmp\Ring.wav
%TEMP%\nsg3.tmp\Blank.bmp
%TEMP%\nsg3.tmp\Icon1.ico
%TEMP%\nsg3.tmp\RZ_menasci.selfip.com_7777.exe
%TEMP%\nsa2.tmp
%TEMP%\nsg3.tmp\RZ.txt
%TEMP%\nsg3.tmp\rzHelper.exe
%TEMP%\nsj6.tmp\nsExec.dll
%HOMEPATH%\My Documents\My Videos\Desktop.ini
%TEMP%\nsj6.tmp\ns8.tmp
%TEMP%\nsj6.tmp\ns7.tmp
%HOMEPATH%\Start Menu\Programs\Administrative Tools\desktop.ini
%TEMP%\nsj6.tmp\Splash.dll
%TEMP%\nsd5.tmp
%PROGRAM_FILES%\RZ2.1.0201205121648\Advantig.txt
%TEMP%\nsisdt.dll