BackDoor.Tdss.8657

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe rundll32.exe xlyf.ppo ebneby'

Вредоносные функции:

Создает и запускает на исполнение:

C:\xblslwc.exe
C:\bcgft.exe
C:\jwxfhba.exe
C:\iymfsrlv.exe
C:\lqyedbfe.exe
C:\lshgrioa.exe
C:\vsosmix.exe
C:\qrig.exe
C:\ndewmmws.exe
C:\-1998166001
C:\ekfq.exe
%TEMP%\nsi6.tmp\Apps.exe
%TEMP%\nsi6.tmp\webtraff.exe
%TEMP%\nsf3.tmp\Ghost32.exe
%TEMP%\nsi6.tmp\Ghost32.exe
%TEMP%\nsf3.tmp\BPFull.exe
%TEMP%\nsi6.tmp\CB-WP.exe
C:\gyid.exe
%TEMP%\nsi6.tmp\e4u.exe
%TEMP%\nsi8.tmp\Ghost32.exe
%TEMP%\nsi6.tmp\ep.exe
C:\bcgft.exe (загружен из сети Интернет)
C:\xblslwc.exe (загружен из сети Интернет)
C:\vsosmix.exe (загружен из сети Интернет)
C:\iymfsrlv.exe (загружен из сети Интернет)
C:\lqyedbfe.exe (загружен из сети Интернет)
C:\jwxfhba.exe (загружен из сети Интернет)
C:\gyid.exe (загружен из сети Интернет)
C:\ekfq.exe (загружен из сети Интернет)
C:\qrig.exe (загружен из сети Интернет)
C:\lshgrioa.exe (загружен из сети Интернет)
C:\ndewmmws.exe (загружен из сети Интернет)
C:\-1998166001 (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\svchost.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
<SYSTEM32>\spoolsv.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\-1998166001
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\fohisfp[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\uxdnnno[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\mciifpzw[1].php
C:\qrig.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\frgqax[1].php
C:\lqyedbfe.exe
C:\jwxfhba.exe
C:\ndewmmws.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\oixheroby[1].php
C:\bcgft.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\dwgqq[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\tmcvif[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hnjtuhhvf[1].php
C:\xblslwc.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wcvsg[1].php
C:\lshgrioa.exe
C:\iymfsrlv.exe
C:\vsosmix.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\yrbbppqzna[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\leoxyiissg[1].php
%TEMP%\nsi6.tmp\e4u.exe
%TEMP%\nsi6.tmp\Apps.exe
%TEMP%\nsi6.tmp\webtraff.exe
%TEMP%\nsi6.tmp\CB-WP.exe
%TEMP%\nsi6.tmp\ep.exe
%TEMP%\nsf3.tmp\Ghost32.exe
%TEMP%\nsj2.tmp
%TEMP%\nsf3.tmp\BPFull.exe
%TEMP%\nsi6.tmp\Ghost32.exe
%TEMP%\nsn5.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ciolve[1].php
<SYSTEM32>\xlyf.ppo
C:\gyid.exe
C:\ekfq.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\tvfclijftd[1].php
%TEMP%\nsi8.tmp\binded.exe
%TEMP%\nsi8.tmp\Ghost32.exe
%TEMP%\9.tmp
%WINDIR%\Temp\C.tmp
%TEMP%\B.tmp

Удаляет следующие файлы:

%TEMP%\nsi6.tmp\webtraff.exe
%TEMP%\nsi6.tmp\ep.exe
<SYSTEM32>\spool\prtprocs\w32x86\A.tmp
%WINDIR%\Temp\C.tmp
%TEMP%\nsi6.tmp\Apps.exe
%TEMP%\nsf3.tmp\BPFull.exe
%TEMP%\nsi6.tmp\e4u.exe
%TEMP%\nsi6.tmp\CB-WP.exe

Сетевая активность:

Подключается к:

'av##i.com':80
'cb###uuepq.com':80
'wo####tsstudio.com':80

TCP:

Запросы HTTP GET:

cb###uuepq.com/wahqng/wcvsg.php?ad########
cb###uuepq.com/wahqng/mciifpzw.php?ad########
av##i.com/dwn/bb.php?v=##########################
cb###uuepq.com/wahqng/yrbbppqzna.php?ad########
cb###uuepq.com/wahqng/hnjtuhhvf.php?ad#################################################
cb###uuepq.com/wahqng/tmcvif.php?ad########
cb###uuepq.com/wahqng/dwgqq.php?ad########
cb###uuepq.com/wahqng/leoxyiissg.php?ad########
cb###uuepq.com/wahqng/tvfclijftd.php?ad########
cb###uuepq.com/wahqng/ciolve.php?ad########
cb###uuepq.com/wahqng/frgqax.php?ad########
cb###uuepq.com/wahqng/uxdnnno.php?ad########
cb###uuepq.com/wahqng/fohisfp.php?ad########
cb###uuepq.com/wahqng/oixheroby.php?ad########