Trojan.DownLoader9.34461

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\arp.exe"'
[<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\arp.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'arp' = '"%APPDATA%\Microsoft\Windows\dllcache\arp.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'arp' = '"%APPDATA%\Microsoft\Windows\dllcache\arp.exe"'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\arp.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Microsoft\Windows\dllcache\arp.exe' "<Полный путь к вирусу>"

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k netsvcs

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cscript.exe
%WINDIR%\Explorer.EXE
<SYSTEM32>\ctfmon.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\g711codc.ax
%APPDATA%\Microsoft\Windows\dllcache\tapi.dll
%APPDATA%\Microsoft\Windows\dllcache\tapiperf.dll
%APPDATA%\Microsoft\Windows\dllcache\joy.cpl
%APPDATA%\Microsoft\Windows\dllcache\l3codecx.ax
%APPDATA%\Microsoft\Windows\dllcache\cliconfg.dll
%APPDATA%\Microsoft\Windows\dllcache\p2p.dll
%APPDATA%\Microsoft\Windows\dllcache\odbctrac.dll
%APPDATA%\Microsoft\Windows\dllcache\rasman.dll
%APPDATA%\Microsoft\Windows\dllcache\tslabels.h
%APPDATA%\Microsoft\Windows\dllcache\adptif.dll
%APPDATA%\Microsoft\Windows\dllcache\w32tm.exe
%APPDATA%\Microsoft\Windows\dllcache\lprhelp.dll
%APPDATA%\Microsoft\Windows\dllcache\mqprfsym.h
%APPDATA%\Microsoft\Windows\dllcache\narrhook.dll
%APPDATA%\Microsoft\Windows\dllcache\atmpvcno.dll
%APPDATA%\Microsoft\Windows\dllcache\packager.exe
%APPDATA%\Microsoft\Windows\dllcache\dataclen.dll
%APPDATA%\Microsoft\Windows\dllcache\noise.chs
%APPDATA%\Microsoft\Windows\dllcache\label.exe
%APPDATA%\Microsoft\Windows\dllcache\proquota.exe
%APPDATA%\Microsoft\Windows\dllcache\kbduk.dll
%APPDATA%\Microsoft\Windows\dllcache\devmgmt.msc
%APPDATA%\Microsoft\Windows\dllcache\kb16.com
%APPDATA%\Microsoft\Windows\dllcache\findstr.exe
%APPDATA%\Microsoft\Windows\dllcache\vdmredir.dll
%APPDATA%\Microsoft\Windows\dllcache\compobj.dll
%APPDATA%\Microsoft\Windows\dllcache\iassdo.dll
%APPDATA%\Microsoft\Windows\dllcache\licwmi.dll
%APPDATA%\Microsoft\Windows\dllcache\neth.dll
%APPDATA%\Microsoft\Windows\dllcache\libdns.dll
%APPDATA%\Microsoft\Windows\dllcache\tapisrv.dll
%APPDATA%\Microsoft\Windows\dllcache\format.com
%APPDATA%\Microsoft\Windows\dllcache\vfp9rrus.dll
%APPDATA%\Microsoft\Windows\dllcache\ega.cpi
%APPDATA%\Microsoft\Windows\dllcache\qmgr.dll
%APPDATA%\Microsoft\Windows\dllcache\access.cpl
%APPDATA%\Microsoft\Windows\dllcache\kbdsp.dll
%APPDATA%\Microsoft\Windows\dllcache\mem.exe
%APPDATA%\Microsoft\Windows\dllcache\faultrep.dll
%APPDATA%\Microsoft\Windows\dllcache\kbduzb.dll
%APPDATA%\Microsoft\Windows\dllcache\PresentationHostProxy.dll
%APPDATA%\Microsoft\Windows\dllcache\p2pgraph.dll
%APPDATA%\Microsoft\Windows\dllcache\oembios.bin
%APPDATA%\Microsoft\Windows\dllcache\kbddv.dll
%APPDATA%\Microsoft\Windows\dllcache\cdm.dll
%APPDATA%\Microsoft\Windows\dllcache\taskkill.exe
%APPDATA%\Microsoft\Windows\dllcache\aaaamon.dll
%APPDATA%\Microsoft\Windows\dllcache\drprov.dll
%APPDATA%\Microsoft\Windows\dllcache\bios1.rom
%APPDATA%\Microsoft\Windows\dllcache\devmgr.dll
%APPDATA%\Microsoft\Windows\dllcache\fixmapi.exe
%APPDATA%\Microsoft\Windows\dllcache\cacls.exe
%APPDATA%\Microsoft\Windows\dllcache\certcli.dll
%APPDATA%\Microsoft\Windows\dllcache\batt.dll
%APPDATA%\Microsoft\Windows\dllcache\d3dim.dll
%APPDATA%\Microsoft\Windows\dllcache\wiaacmgr.exe
%APPDATA%\Microsoft\Windows\dllcache\jobexec.dll
%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp
%APPDATA%\Microsoft\Windows\dllcache\arp.exe
%TEMP%\cab1.tmp
C:\Documents and Settings\Default User\Start Menu\Programs\Startup\arp.lnk
%APPDATA%\Microsoft\Windows\dllcache\shgina.dll
%APPDATA%\Microsoft\Windows\dllcache\jet500.dll
%APPDATA%\Microsoft\Windows\dllcache\wdigest.dll
%APPDATA%\Microsoft\Windows\dllcache\mfc100kor.dll
%APPDATA%\Microsoft\Windows\dllcache\fmifs.dll
%APPDATA%\Microsoft\Windows\dllcache\mag_hook.dll
%APPDATA%\Microsoft\Windows\dllcache\bootvid.dll
%APPDATA%\Microsoft\Windows\dllcache\xactsrv.dll
%APPDATA%\Microsoft\Windows\dllcache\himem.sys
%APPDATA%\Microsoft\Windows\dllcache\mll_qic.dll
%APPDATA%\Microsoft\Windows\dllcache\bootcfg.exe
%APPDATA%\Microsoft\Windows\dllcache\lpq.exe
%APPDATA%\Microsoft\Windows\dllcache\nlsfunc.exe
%APPDATA%\Microsoft\Windows\dllcache\bthprops.cpl
%APPDATA%\Microsoft\Windows\dllcache\netid.dll
%APPDATA%\Microsoft\Windows\dllcache\clb.dll
%APPDATA%\Microsoft\Windows\dllcache\gpkcsp.dll
%APPDATA%\Microsoft\Windows\dllcache\mchgrcoi.dll
%APPDATA%\Microsoft\Windows\dllcache\udhisapi.dll
%APPDATA%\Microsoft\Windows\dllcache\wiavideo.dll
%APPDATA%\Microsoft\Windows\dllcache\vdmdbg.dll
%APPDATA%\Microsoft\Windows\dllcache\tdc.ocx
%APPDATA%\Microsoft\Windows\dllcache\geo.nls
%APPDATA%\Microsoft\Windows\dllcache\qasf.dll
%APPDATA%\Microsoft\Windows\dllcache\oakley.dll
%APPDATA%\Microsoft\Windows\dllcache\encdec.dll
%APPDATA%\Microsoft\Windows\dllcache\inetcplc.dll
%APPDATA%\Microsoft\Windows\dllcache\nbtstat.exe

Удаляет следующие файлы:

%TEMP%\cab4.tmp
%TEMP%\cab1.tmp
%APPDATA%\Microsoft\Windows\dllcache\arp.exe

Перемещает следующие файлы:

%APPDATA%\Microsoft\Windows\dllcache\RCX3.tmp в %APPDATA%\Microsoft\Windows\dllcache\arp.exe
%APPDATA%\Microsoft\Windows\dllcache\RCX2.tmp в %APPDATA%\Microsoft\Windows\dllcache\arp.exe

Самоудаляется.

Сетевая активность:

Подключается к: