Trojan.DownLoader11.19545

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '5cd8f17f4086744065eb0992a09e05a2' = '"%TEMP%\Trojan.exe" ..'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '5cd8f17f4086744065eb0992a09e05a2' = '"%TEMP%\Trojan.exe" ..'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\Trojan.exe' = '%TEMP%\Trojan.exe:*:Enabled:Trojan.exe'

Создает и запускает на исполнение:

'%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\IKernel.exe' -RegServer
'%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\IKernel.exe' 32\IKernel.exe -Embedding
'%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\IKernel.exe' /REGSERVER
'%TEMP%\pft3~tmp\Disk1\Setup.exe'
'%TEMP%\IXP000.TMP\MO_ORA~1.EXE'
'%TEMP%\Trojan.exe'
'%TEMP%\IXP000.TMP\armor2nt.exe'

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\Trojan.exe" "Trojan.exe" ENABLE

Изменения в файловой системе:

Создает следующие файлы:

%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\ctor35d6.rra
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\obje398f.rra
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\iuse3a4b.rra
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\core352a.rra
%TEMP%\pft3~tmp\Disk1\setup.inx
%TEMP%\IEC4.tmp
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\temp.000
%CommonProgramFiles%\InstallShield\IScript\iscr3f3c.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\isrt5082.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\defa512e.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\_IsR51ea.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\valu4fc7.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\setu4dc3.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\icon4eae.rra
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\lice4eec.rra
%TEMP%\ext2.tmp
%TEMP%\plf1.tmp
%TEMP%\pft3~tmp\pftw1.pkg
%TEMP%\Trojan.exe
%TEMP%\IXP000.TMP\PLATIN~2.LNK
%TEMP%\IXP000.TMP\armor2nt.exe
%TEMP%\e653d73e45833b6c
%TEMP%\pft3~tmp\Disk1\data1.cab
%TEMP%\pft3~tmp\Disk1\Setup.bmp
%TEMP%\pft3~tmp\Disk1\Setup.exe
%TEMP%\pft3~tmp\Disk1\Setup.ini
%TEMP%\pft3~tmp\Disk1\layout.bin
%TEMP%\pft3~tmp\Disk1\data1.hdr
%TEMP%\pft3~tmp\Disk1\data2.cab
%TEMP%\pft3~tmp\Disk1\ikernel.ex_

Удаляет следующие файлы:

%TEMP%\IEC4.tmp
%TEMP%\pft3~tmp\pftw1.pkg
%TEMP%\ext2.tmp

Перемещает следующие файлы:

%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\valu4fc7.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\value.shl
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\lice4eec.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\license.txt
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\icon4eae.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\icon.bmp
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\_IsR51ea.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\_IsRes.dll
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\defa512e.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\default.pal
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\isrt5082.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\isrt.dll
%TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\setu4dc3.rra в %TEMP%\{68db6a41-76cc-4408-ab54-3b243e21a6c1}\setup.inx
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\ctor35d6.rra в %CommonProgramFiles%\InstallShield\Engine\6\Intel 32\ctor.dll
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\core352a.rra в %CommonProgramFiles%\InstallShield\Engine\6\Intel 32\corecomp.ini
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\temp.000 в %CommonProgramFiles%\InstallShield\Engine\6\Intel 32\IKernel.exe
%CommonProgramFiles%\InstallShield\IScript\iscr3f3c.rra в %CommonProgramFiles%\InstallShield\IScript\iscript.dll
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\iuse3a4b.rra в %CommonProgramFiles%\InstallShield\Engine\6\Intel 32\iuser.dll
%CommonProgramFiles%\InstallShield\Engine\6\Intel 32\obje398f.rra в %CommonProgramFiles%\InstallShield\Engine\6\Intel 32\objectps.dll