Trojan.DownLoader9.64133

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Experience Reporting Shell' = '<SYSTEM32>\czrjqxe.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\czrjqxe.exe

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\qvdcavqa.exe' "<SYSTEM32>\czrjqxe.exe"
'<SYSTEM32>\czrjqxe.exe'
'%TEMP%\hlvgxaf3ppsf02mp8blywf.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\sfvlcwmocxlnwq\rng
<SYSTEM32>\qvdcavqa.exe
<SYSTEM32>\sfvlcwmocxlnwq\cfg
<SYSTEM32>\sfvlcwmocxlnwq\run
<SYSTEM32>\czrjqxe.exe
%TEMP%\hlvgxaf3ppsf02mp8blywf.exe
<SYSTEM32>\sfvlcwmocxlnwq\tst
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\qvdcavqa.exe
<SYSTEM32>\czrjqxe.exe

Удаляет следующие файлы:

%TEMP%\hlvgxaf3ppsf02mp8blywf.exe

Сетевая активность:

Подключается к:

'pa####ciostit.net':80
'gj####vcaouy.net':80
'ka####tixter.net':80
've####tistic.net':80
'gr####oholist.net':80
'de###batten.com':80
'pe####ersonals.com':80
'jo###ryta.net':80
'ch####rsdolist.com':80
'nu######casanuteintorci.net':80
'cr######ucoarnedecal.net':80
'hi###anblog.net':80
'bo####utanase.net':80
'af####chmonitor.net':80
'fa######pulepunctcom.net':80
'ge#####alixtentop.net':80
'ja###uter.net':80
'wa####rbulldog.net':80
'ge#####alixtentop.com':80
'ka####tixter.com':80
'wa####rbulldog.com':80
'fa######pulepunctcom.com':80
've####tistic.com':80
'gr####oholist.com':80
'jo###ryta.com':80
'pa####ciostit.com':80
'gj####vcaouy.com':80
'su#####ollarsyes.com':80
'hi###anblog.com':80
'bl#####eronredmoon.com':80
'ma#####ousestoday.com':80
'bo####utanase.com':80
'af####chmonitor.com':80
'ja###uter.com':80
'nu######casanuteintorci.com':80
'cr######ucoarnedecal.com':80

TCP:

Запросы HTTP GET:

pa####ciostit.net/m2/isup.php?em###############################################
gj####vcaouy.net/m2/isup.php?em###############################################
ka####tixter.net/m2/isup.php?em###############################################
ve####tistic.net/m2/isup.php?em###############################################
gr####oholist.net/m2/isup.php?em###############################################
de###batten.com/m2/isup.php?em###############################################
pe####ersonals.com/m2/isup.php?em###############################################
jo###ryta.net/m2/isup.php?em###############################################
ch####rsdolist.com/m2/isup.php?em###############################################
nu######casanuteintorci.net/m2/isup.php?em###############################################
cr######ucoarnedecal.net/m2/isup.php?em###############################################
hi###anblog.net/m2/isup.php?em###############################################
bo####utanase.net/m2/isup.php?em###############################################
af####chmonitor.net/m2/isup.php?em###############################################
fa######pulepunctcom.net/m2/isup.php?em###############################################
ge#####alixtentop.net/m2/isup.php?em###############################################
ja###uter.net/m2/isup.php?em###############################################
wa####rbulldog.net/m2/isup.php?em###############################################
ge#####alixtentop.com/m2/isup.php?em###############################################
ka####tixter.com/m2/isup.php?em###############################################
wa####rbulldog.com/m2/isup.php?em###############################################
fa######pulepunctcom.com/m2/isup.php?em###############################################
ve####tistic.com/m2/isup.php?em###############################################
gr####oholist.com/m2/isup.php?em###############################################
jo###ryta.com/m2/isup.php?em###############################################
pa####ciostit.com/m2/isup.php?em###############################################
gj####vcaouy.com/m2/isup.php?em###############################################
su#####ollarsyes.com/m2/isup.php?em###############################################
hi###anblog.com/m2/isup.php?em###############################################
bl#####eronredmoon.com/m2/isup.php?em###############################################
ma#####ousestoday.com/m2/isup.php?em###############################################
bo####utanase.com/m2/isup.php?em###############################################
af####chmonitor.com/m2/isup.php?em###############################################
ja###uter.com/m2/isup.php?em###############################################
nu######casanuteintorci.com/m2/isup.php?em###############################################
cr######ucoarnedecal.com/m2/isup.php?em###############################################