Trojan.DownLoader10.63997

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Web Builder IPsec Font Discovery' = '<SYSTEM32>\zptegzqq.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\zptegzqq.exe

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Publication Volume Client Network Studio] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\kvtrdfhliim.exe' "<SYSTEM32>\zptegzqq.exe"
'%WINDIR%\Temp\lvcsp2ky37yhx4zgz.exe' -r 29962 tcp
'%TEMP%\lvcsp2ky34x3x4zgp1rwit.exe'
'<SYSTEM32>\zptegzqq.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\iysjiudlpxvlr\run
<SYSTEM32>\iysjiudlpxvlr\rng
<SYSTEM32>\iysjiudlpxvlr\cfg
<SYSTEM32>\iysjiudlpxvlr\por
%WINDIR%\Temp\lvcsp2ky37yhx4zgz.exe
%TEMP%\lvcsp2ky34x3x4zgp1rwit.exe
<SYSTEM32>\iysjiudlpxvlr\tst
<SYSTEM32>\iysjiudlpxvlr\etc
<SYSTEM32>\kvtrdfhliim.exe
<SYSTEM32>\zptegzqq.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\kvtrdfhliim.exe
<SYSTEM32>\zptegzqq.exe

Удаляет следующие файлы:

%WINDIR%\Temp\lvcsp2ky37yhx4zgz.exe
%TEMP%\lvcsp2ky34x3x4zgp1rwit.exe
<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'th###boat.net':80
'li###oat.net':80
'th###press.net':80
'fi###open.net':80
'so###rest.net':80
'fi###rest.net':80
'so###open.net':80
'li###ress.net':80
'fe###oat.net':80
'we###oat.net':80
'fe###ress.net':80
'li###pen.net':80
'th###rest.net':80
'li###est.net':80
'th###open.net':80
'mo###uia.com':80
'vi###mojo.com':80
'fa###june.net':80
'mo###itio.com':80
'do####club-grup.com':80
'el#####arimagine.com':80
'ja###uter.com':80
'ri###egan.net':80
'fi###boat.net':80
'so###press.net':80
'fi###press.net':80
'so###boat.net':80
'fa###began.net':80
'ri###ind.net':80
'fa###kind.net':80

TCP:

Запросы HTTP GET:

th###boat.net/forum/search.php?me#########################################
li###oat.net/forum/search.php?me#########################################
th###press.net/forum/search.php?me#########################################
fi###open.net/forum/search.php?me#########################################
so###rest.net/forum/search.php?me#########################################
fi###rest.net/forum/search.php?me#########################################
so###open.net/forum/search.php?me#########################################
li###ress.net/forum/search.php?me#########################################
fe###oat.net/forum/search.php?me#########################################
we###oat.net/forum/search.php?me#########################################
fe###ress.net/forum/search.php?me#########################################
li###pen.net/forum/search.php?me#########################################
th###rest.net/forum/search.php?me#########################################
li###est.net/forum/search.php?me#########################################
th###open.net/forum/search.php?me#########################################
mo###uia.com/forum/search.php?me#########################################
vi###mojo.com/forum/search.php?me#########################################
fa###june.net/forum/search.php?me#########################################
mo###itio.com/forum/search.php?me#########################################
do####club-grup.com/forum/search.php?me#########################################
el#####arimagine.com/forum/search.php?me#########################################
ja###uter.com/forum/search.php?me#########################################
ri###egan.net/forum/search.php?me#########################################
fi###boat.net/forum/search.php?me#########################################
so###press.net/forum/search.php?me#########################################
fi###press.net/forum/search.php?me#########################################
so###boat.net/forum/search.php?me#########################################
fa###began.net/forum/search.php?me#########################################
ri###ind.net/forum/search.php?me#########################################
fa###kind.net/forum/search.php?me#########################################