Trojan.DownLoader8.46912

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '<SYSTEM32>\krsr\svchost.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'explore32' = '"%HOMEPATH%\My Documents\win32\explore32.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'teamci' = '"%HOMEPATH%\My Documents\win32\teamci.exe"'

Вредоносные функции:

Создает и запускает на исполнение:

'%HOMEPATH%\My Documents\win32\logupdate.exe' 0
'%HOMEPATH%\My Documents\win32\winsiffer.exe' 0
'%HOMEPATH%\My Documents\win32\ts.exe'
'%TEMP%\RarSFX0\taskmqr.exe'
'%TEMP%\RarSFX1\winsif.exe'
'%HOMEPATH%\My Documents\win32\wbcm.exe' 0
'%HOMEPATH%\My Documents\win32\teamci.exe' 0
'%TEMP%\RarSFX0\deploy.exe'
'%HOMEPATH%\My Documents\win32\explore32.exe' 0
'%HOMEPATH%\My Documents\win32\taseron.exe' 0
'%HOMEPATH%\My Documents\win32\systemsys.exe' 0

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\My Documents\win32\taseronlog.txt
%HOMEPATH%\My Documents\win32\explore32log.txt
%HOMEPATH%\My Documents\win32\TeamCIlog.txt
%HOMEPATH%\My Documents\win32\wbcm.txt
%TEMP%\RarSFX1\msns.exe
%TEMP%\RarSFX1\winsif.exe
%HOMEPATH%\My Documents\win32\teamci.exe
%HOMEPATH%\My Documents\win32\taskmqr.exe
%HOMEPATH%\My Documents\win32\taseron.exe
%HOMEPATH%\My Documents\win32\winsiffer.exe
%HOMEPATH%\My Documents\win32\wbcm.exe
%HOMEPATH%\My Documents\win32\ts.exe
%TEMP%\RarSFX1\bs.exe
%HOMEPATH%\My Documents\win32\puff\.pcbilgileri.txt
%HOMEPATH%\My Documents\win32\pcbilgileri.txt
<SYSTEM32>\krsr\resim.jpg
%HOMEPATH%\My Documents\win32\ipLoc.txt
%HOMEPATH%\My Documents\win32\puff\.s.jpg
%HOMEPATH%\My Documents\win32\s.jpg
%HOMEPATH%\My Documents\win32\logupdate.txt
%HOMEPATH%\My Documents\win32\puff\.keys.htm
%HOMEPATH%\My Documents\win32\keys.htm
<SYSTEM32>\krsr\svchost.exe
%APPDATA%\TeamViewer\TeamViewer3_Logfile.log
%TEMP%\RarSFX0\systemsys.exe
%TEMP%\RarSFX0\taseron.exe
%TEMP%\RarSFX0\logupdate.exe
%TEMP%\RarSFX0\fsysx.dll
%TEMP%\RarSFX0\ts.exe
%TEMP%\RarSFX0\f.dll
%TEMP%\RarSFX0\deploy.exe
%TEMP%\RarSFX0\DirectShowLib.dll
%TEMP%\RarSFX0\Interop.SpeechLib.dll
%TEMP%\RarSFX0\wbcm.exe
%TEMP%\RarSFX0\explore32.exe
%TEMP%\RarSFX0\teamci.exe
%TEMP%\RarSFX0\hesap.txt
%HOMEPATH%\My Documents\win32\hesap.txt
%HOMEPATH%\My Documents\win32\fsysx.dll
%HOMEPATH%\My Documents\win32\f.dll
%HOMEPATH%\My Documents\win32\systemsys.exe
%HOMEPATH%\My Documents\win32\logupdate.exe
%HOMEPATH%\My Documents\win32\Interop.SpeechLib.dll
%HOMEPATH%\My Documents\win32\deploylog.txt
%TEMP%\RarSFX0\taskmqr.exe
%TEMP%\RarSFX0\winsiffer.exe
%HOMEPATH%\My Documents\win32\explore32.exe
%HOMEPATH%\My Documents\win32\DirectShowLib.dll
%HOMEPATH%\My Documents\win32\deploy.exe

Сетевая активность:

Подключается к:

'ma####.dyngate.com':80
'tr##jan.com':21
'ma####2.dyngate.com':80
'wp#d':80
'tr##jan.com':80
'pi###.dyngate.com':5938

TCP:

Запросы HTTP GET:

ma####2.dyngate.com/din.aspx?s=#####################################################
ma####.dyngate.com/din.aspx?s=#####################################################
tr##jan.com/users/default.aspx?ms###################################################
tr##jan.com/resim/ipne.aspx?pc#################################################
ma####.dyngate.com/din.aspx?s=####################################################
ma####2.dyngate.com/din.aspx?s=####################################################
tr##jan.com/users/sevimim2635/ftpvarmi.txt
tr##jan.com/users/?ms#########################################################
wp#d/wpad.dat
tr##jan.com/users/?ms##############################################################
tr##jan.com/users/sevimim2635/aktifmi.txt
tr##jan.com/users/sevimim2635/xcode.txt