Trojan.DownLoader10.1909

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = ''
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%WINDIR%\ieudinit.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = ''
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '<LS_APPDATA>\Microsoft\Windows\logman.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Session Manager' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Session Manager' = '<LS_APPDATA>\Microsoft\Windows\smss.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'DllHost3g' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'DllHost3g' = '<LS_APPDATA>\dllhst3g.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Spooler' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Spooler' = '<LS_APPDATA>\Microsoft\Windows\spoolsv.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Spooler' = ''
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Spooler' = '<LS_APPDATA>\spoolsv.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MessageService' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MessageService' = '<LS_APPDATA>\Microsoft\mqtgsvc.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Sessmgr' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Sessmgr' = '<LS_APPDATA>\sessmgr.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'<LS_APPDATA>\Microsoft\Windows\spoolsv.exe' /a 1

Изменения в файловой системе:

Создает следующие файлы:

%WINDIR%\ieudinit.exe
%WINDIR%\RCX6.tmp
<LS_APPDATA>\Microsoft\Windows\logman.exe
<LS_APPDATA>\Microsoft\Windows\RCX5.tmp
<LS_APPDATA>\Microsoft\Windows\smss.exe
<LS_APPDATA>\Microsoft\Windows\RCX8.tmp
<LS_APPDATA>\dllhst3g.exe
<LS_APPDATA>\RCX7.tmp
<LS_APPDATA>\Microsoft\RCX4.tmp
<LS_APPDATA>\RCX1.tmp
<LS_APPDATA>\Microsoft\Windows\spoolsv.exe
%TEMP%\Twain002.Mtx
<LS_APPDATA>\spoolsv.exe
<LS_APPDATA>\RCX3.tmp
<LS_APPDATA>\Microsoft\mqtgsvc.exe
<LS_APPDATA>\Microsoft\Windows\RCX2.tmp
<LS_APPDATA>\sessmgr.exe

Удаляет следующие файлы:

%WINDIR%\ieudinit.exe
<LS_APPDATA>\Microsoft\Windows\logman.exe
<LS_APPDATA>\Microsoft\Windows\smss.exe
<LS_APPDATA>\dllhst3g.exe
<LS_APPDATA>\Microsoft\Windows\spoolsv.exe
<LS_APPDATA>\spoolsv.exe
<LS_APPDATA>\Microsoft\mqtgsvc.exe
<LS_APPDATA>\sessmgr.exe

Перемещает следующие файлы:

%WINDIR%\RCX6.tmp в %WINDIR%\ieudinit.exe
<LS_APPDATA>\Microsoft\Windows\RCX5.tmp в <LS_APPDATA>\Microsoft\Windows\logman.exe
<LS_APPDATA>\Microsoft\Windows\RCX8.tmp в <LS_APPDATA>\Microsoft\Windows\smss.exe
<LS_APPDATA>\RCX7.tmp в <LS_APPDATA>\dllhst3g.exe
<LS_APPDATA>\Microsoft\Windows\RCX2.tmp в <LS_APPDATA>\Microsoft\Windows\spoolsv.exe
<LS_APPDATA>\RCX1.tmp в <LS_APPDATA>\spoolsv.exe
<LS_APPDATA>\Microsoft\RCX4.tmp в <LS_APPDATA>\Microsoft\mqtgsvc.exe
<LS_APPDATA>\RCX3.tmp в <LS_APPDATA>\sessmgr.exe

Сетевая активность:

Подключается к: