Trojan.DownLoader14.35963

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Gateway Store Instrumentation Drive' = '%APPDATA%\bhykp7\jopdkxkow4.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\bhykp7\xeugbyn44ht.exe' "%APPDATA%\bhykp7\jopdkxkow4.exe"
'%APPDATA%\bhykp7\jopdkxkow4.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\bhykp7\jopdkxkow4.mkvm
%APPDATA%\bhykp7\xeugbyn44ht.exe
%APPDATA%\bhykp7\jopdkxkow4.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\bhykp7\jopdkxkow4.exe

Сетевая активность:

Подключается к:

'cr###close.net':80
'su###rclose.net':80
'wa###space.net':80
'th####tspace.net':80
'cr###travel.net':80
'su####travel.net':80
'cr###yellow.net':80
'su####yellow.net':80
'th####ttravel.net':80
'wo###space.net':80
'wa###close.net':80
'wo###travel.net':80
'sm###space.net':80
'th####tyellow.net':80
'wa###travel.net':80
'th####tclose.net':80
'wa###yellow.net':80
'fo###wclose.net':80
'me####yellow.net':80
'be###space.net':80
'me###rclose.net':80
'fo####travel.net':80
'me###rspace.net':80
'fo####yellow.net':80
'me####travel.net':80
'kn###space.net':80
'kn###close.net':80
'be###close.net':80
'cr###space.net':80
'su###rspace.net':80
'kn###travel.net':80
'be###travel.net':80
'kn###yellow.net':80
'be###yellow.net':80

TCP:

Запросы HTTP GET:

http://cr###close.net/index.php?em################################################
http://su###rclose.net/index.php?em################################################
http://wa###space.net/index.php?em################################################
http://th####tspace.net/index.php?em################################################
http://cr###travel.net/index.php?em################################################
http://su####travel.net/index.php?em################################################
http://cr###yellow.net/index.php?em################################################
http://su####yellow.net/index.php?em################################################
http://th####ttravel.net/index.php?em################################################
http://wo###space.net/index.php?em################################################
http://wa###close.net/index.php?em################################################
http://wo###travel.net/index.php?em################################################
http://sm###space.net/index.php?em################################################
http://th####tyellow.net/index.php?em################################################
http://wa###travel.net/index.php?em################################################
http://th####tclose.net/index.php?em################################################
http://wa###yellow.net/index.php?em################################################
http://fo###wclose.net/index.php?em################################################
http://me####yellow.net/index.php?em################################################
http://be###space.net/index.php?em################################################
http://me###rclose.net/index.php?em################################################
http://fo####travel.net/index.php?em################################################
http://me###rspace.net/index.php?em################################################
http://fo####yellow.net/index.php?em################################################
http://me####travel.net/index.php?em################################################
http://kn###space.net/index.php?em################################################
http://kn###close.net/index.php?em################################################
http://be###close.net/index.php?em################################################
http://cr###space.net/index.php?em################################################
http://su###rspace.net/index.php?em################################################
http://kn###travel.net/index.php?em################################################
http://be###travel.net/index.php?em################################################
http://kn###yellow.net/index.php?em################################################
http://be###yellow.net/index.php?em################################################