Trojan.DownLoader11.18150

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'SymbalooInstaller' = '%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\symb..tion_52c910e006b5901b_0001.0000_10a297b33eb33ddd\SymbalooSoftware.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\symb..tion_52c910e006b5901b_0001.0000_10a297b33eb33ddd\SymbalooSoftware.exe'

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\dfsvc.exe'
'<SYSTEM32>\rundll32.exe' dfshim.dll,ShOpenVerbApplication C:\symbaloo-installer\SymbalooSoftware.application

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\manifests\symb..tion_52c910e006b5901b_0001.0000_none_d07f0cb29024a9bf.manifest
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\manifests\symb..tion_52c910e006b5901b_0001.0000_none_d07f0cb29024a9bf.cdf-ms
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab1.tmp
%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe.config
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\manifests\symb...exe_52c910e006b5901b_0001.0000_none_793b941ddf58cff4.manifest
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\symb..tion_52c910e006b5901b_0001.0000_10a297b33eb33ddd\SymbalooSoftware.cdf-ms
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\symb..tion_52c910e006b5901b_0001.0000_10a297b33eb33ddd\SymbalooSoftware.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CA8L0BQJ.log
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\manifests\symb...exe_52c910e006b5901b_0001.0000_none_793b941ddf58cff4.cdf-ms
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\symb...exe_52c910e006b5901b_0001.0000_none_793b941ddf58cff4\SymbalooSoftware.exe.config
%HOMEPATH%\Local Settings\Apps\2.0\7R6QPMHQ.GRY\JHBX8H2T.G23\symb..tion_52c910e006b5901b_0001.0000_10a297b33eb33ddd\SymbalooSoftware.manifest
C:\symbaloo-installer\Application Files\SymbalooSoftware_1_0_0_56\SymbalooSoftware.exe.deploy
C:\symbaloo-installer\Application Files\SymbalooSoftware_1_0_0_56\SymbalooSoftware.exe.manifest
%TEMP%\Deployment\OPQY6EMJ.PW9\DJEP8DZN.KCW.application
C:\symbaloo-installer\SymbalooSoftware.application
C:\symbaloo-installer\Application Files\SymbalooSoftware_1_0_0_56\SymbalooSoftware.application
C:\symbaloo-installer\Application Files\SymbalooSoftware_1_0_0_56\SymbalooSoftware.exe.config.deploy
%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe.manifest
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\68c7c4e2-42ed-48b5-9a5d-d40cb620d3f8
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\932a2db58c237abd381d22df4c63a04a_23ef5514-3059-436f-a4a7-4cefaab20eb1

Удаляет следующие файлы:

%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe.genman
%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe.manifest
%TEMP%\Deployment\OPQY6EMJ.PW9\DJEP8DZN.KCW.application
%TEMP%\Cab1.tmp
%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe
%TEMP%\Deployment\D1KW4K42.5PJ\5M0QH8MK.WL5\SymbalooSoftware.exe.config

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
wp#d/wpad.dat

UDP: