Trojan.DownLoader13.4609

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Создает и запускает на исполнение:

'%TEMP%\3.tmp'
'%TEMP%\2.tmp'

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' netsvcs
'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'%WINDIR%\explorer.exe'
'<SYSTEM32>\msiexec.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

C:\ec525f4\ec525f4.exe
%APPDATA%\ec525f4.exe
%TEMP%\2.tmp
%TEMP%\3.tmp

Удаляет следующие файлы:

%TEMP%\2.tmp

Сетевая активность:

Подключается к:

'kr#######rkonsum.uni-koeln.de':80
'co######ntaire.sante-dz.org':80
'gr####chools.com.my':80
'bi#####resorguiden.se':80
'gl#####reevermont.com':80
'ad##tam.pt':80
'th#####itualhealth.com':80
'kl#####ndeverleiding.nl':80
'ar##el.ro':80
'eu##ut.ro':80
'pa###kom.co.id':80
'pr###eamigos.cz':80
'ru##ove.us':80
'ke#####yurtheeram.com':80
'st#####rketinsiders.com':80
'cu###yip.com':80
'co####security.com':80
'el########presidentielles-france.fr':80
'my####rnalip.com':80
'20#.#6.232.182':80
'ye##5.com':80
'ip##ddr.es':80
'cz####czajka.com':80
'mu###edia.com':80
'su####tive.com.tr':80
'do##film.de':80
'qu####lbeauty.com':80
'yo#####resigns.co.uk':80
'pr####ominica.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://co######ntaire.sante-dz.org/news/wp-content/themes/sante/img1.php?q=#############
http://gr####chools.com.my/wp-content/themes/gc/img1.php?z=#############
http://pr###eamigos.cz/wp-content/themes/themeboy_football_club_v2.0.8/img2.php?b=#############
http://th#####itualhealth.com/wp-content/themes/lightweight/img4.php?v=#############
http://bi#####resorguiden.se/wp-content/themes/chic-bank/img3.php?i=#############
http://kr#######rkonsum.uni-koeln.de/wp-content/themes/UltraLight/img4.php?k=#############
http://kl#####ndeverleiding.nl/wp-content/themes/Divi/img3.php?x=#############
http://ar##el.ro/blog/wp-content/themes/Chucky/img5.php?l=#############
http://eu##ut.ro/wp-content/uploads/img4.php?h=#############
http://ru##ove.us/wp-content/themes/twentyfifteen/img5.php?l=#############
http://ke#####yurtheeram.com/wp-content/themes/kingsize/img2.php?w=#############
http://pa###kom.co.id/wp-content/themes/satellite_corp/img5.php?q=#############
http://ad##tam.pt/wp-content/themes/pptitan/img2.php?h=#############
http://qu####lbeauty.com/wp-content/themes/template2/img4.php?n=#############
http://yo#####resigns.co.uk/wp-content/themes/twentytwelve/img3.php?o=#############
http://pr####ominica.com/wp-content/themes/Avada-Theme/img3.php?f=#############
http://ye##5.com/system.php
http://co####security.com/wp-content/themes/grizzly/img5.php?r=#############
http://el########presidentielles-france.fr/wp-content/themes/theme1917/img5.php?s=#############
http://su####tive.com.tr/wp-content/themes/pindol/img3.php?k=#############
http://st#####rketinsiders.com/wp-content/themes/Impreza/img2.php?i=#############
http://gl#####reevermont.com/wp-content/themes/twentyeleven/img5.php?d=#############
http://do##film.de/handler/img3.php?y=#############
http://cz####czajka.com/wp-content/themes/dt-the7-Theme/img3.php?w=#############
http://mu###edia.com/wp-content/themes/lightweight/img2.php?c=#############