Trojan.DownLoader10.2323

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '<SYSTEM32>\softwaredistribution\setup\servicestartup\wups.dll\winupdate\microsoft\services.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinSrv' = '<SYSTEM32>\softwaredistribution\setup\servicestartup\wups.dll\winupdate\microsoft\hiderun.exe Services.exe'
[<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"<SYSTEM32>\softwaredistribution\setup\servicestartup\wups.dll\winupdate\microsoft\services.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Service' = '<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Hiderun.exe <SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe'
[<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"<SYSTEM32>\softwaredistribution\setup\servicestartup\wups.dll\winupdate\microsoft\services.exe"'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe'
'<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\hex.exe' /hide mIRC*
'<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\microsoft.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run\Service="<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Hiderun.exe <SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe"
'<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Hiderun.exe' services.exe

Запускает на исполнение:

'%WINDIR%\msagent\agentsvr.exe' -Embedding
'%WINDIR%\regedit.exe' /s vnc_server.reg
'<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\install.bat" "
'%WINDIR%\regedit.exe' /s boot.reg

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\stop.ini
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\system.ini
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\servers.ini
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\servicerun.dll
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\vnc.dll
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\boot.reg
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\vnc_server.reg
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\flood.txt
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\VNC_bypauth.exe
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\winmx.ocx
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Hiderun.exe
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\install.bat
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\hex.exe
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\aliases.ini
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\flood.mrc
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\microsoft.exe
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\run.bat
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\script3.dll
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\remote.ini
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\mirc.ini
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Process.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\microsoft.exe

Удаляет следующие файлы:

<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\vnc_server.reg
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\boot.reg
<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\TMP2.$$$

Перемещает следующие файлы:

<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\remote.ini в <SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\TMP2.$$$

Сетевая активность:

Подключается к: