Trojan.DownLoader4.34301

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{8S7370J8-36RK-WXV6-HXK6-XPV15ODE4UUM}] 'StubPath' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft' = '%TEMP%\syshost.exe'
[<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{8S7370J8-36RK-WXV6-HXK6-XPV15ODE4UUM}] 'StubPath' = 'C:\nw.exe Restart'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost' = ''
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost' = ''

Создает следующие файлы на съемном носителе:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\EN7C99GKKL.exe' = '%APPDATA%\EN7C99GKKL.exe:*:Enabled:Windows Messanger'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\svchost.exe' = '%TEMP%\svchost.exe:*:Enabled:Windows Messanger'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%TEMP%\svchost.exe" /t REG_SZ /d "%TEMP%\svchost.exe:*:Enabled:Windows Messanger" /f
<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
<SYSTEM32>\dumprep.exe 3484 -dm 7 7 "%TEMP%\WER37e2.dir00\svchost.exe.hdmp" 16325836412027324
<SYSTEM32>\reg.exe ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\EN7C99GKKL.exe" /t REG_SZ /d "%APPDATA%\EN7C99GKKL.exe:*:Enabled:Windows Messanger" /f
<SYSTEM32>\dumprep.exe 3484 -dm 7 7 "%TEMP%\WER37e2.dir00\svchost.exe.mdmp" 16325836412027312
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\xwi6ow34.cmdline"
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\t59sgqzw.cmdline"
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:"%TEMP%\RES4.tmp"" ""%TEMP%\vbc1.tmp""
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:"%TEMP%\RES3.tmp"" ""%TEMP%\vbc2.tmp""

Внедряет код в

следующие системные процессы:

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\t59sgqzw.out
%TEMP%\xwi6ow34.out
%TEMP%\vbc1.tmp
%TEMP%\t59sgqzw.cmdline
%TEMP%\xwi6ow34.0.vb
%TEMP%\t59sgqzw.0.vb
%TEMP%\xwi6ow34.cmdline
%TEMP%\syshost.exe:ZONE.identifier
%APPDATA%\EN7C99GKKL.exe
%TEMP%\WER37e2.dir00\svchost.exe.mdmp
%TEMP%\syshost.exe
%TEMP%\vbc2.tmp
%TEMP%\RES4.tmp
%TEMP%\RES3.tmp
%APPDATA%\%USERNAME%log.dat
%TEMP%\%USERNAME%7
%TEMP%\%USERNAME%8
%PROGRAM_FILES%\Keygen.exe
%TEMP%\xcoca.ine
C:\nw.exe
%TEMP%\%USERNAME%2.txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\sqlite3[1].dll
%TEMP%\118375.tmp
%APPDATA%\%USERNAME%3SQLite3.dll
%TEMP%\adobe.exe
%PROGRAM_FILES%\bs.exe
%PROGRAM_FILES%\is.exe
%TEMP%\svch0st.exe