Trojan.DownLoader8.57348

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe' = '%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe:*:Enabled:RemoteZilla-Server'

Создает и запускает на исполнение:

'%TEMP%\nsf5.tmp\nsD.tmp' "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe" "RemoteZilla-Server" ENABLE
'%TEMP%\nsf5.tmp\nsC.tmp' "netsh.exe" firewall add allowedprogram "%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe" "RemoteZilla-Server" ENABLE ALL
'%TEMP%\nsf5.tmp\nsB.tmp' "sc.exe" delete RZ_CAD
'%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe' -service_run
'%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe' -service
'%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe' -install
'%TEMP%\nsf5.tmp\ns7.tmp' "sc.exe" stop RZ_CAD
'%TEMP%\nsf5.tmp\ns6.tmp' "sc.exe" stop RZ_Service
'%TEMP%\nsi3.tmp\RZ_purplepine.no-ip.biz_5500.exe' /33712953203-973804947_Purple Pine LLC/0
'%TEMP%\nsf5.tmp\nsA.tmp' "sc.exe" delete RZ_Service
'%TEMP%\nsf5.tmp\ns9.tmp' "net.exe" stop RZ_CAD
'%TEMP%\nsf5.tmp\ns8.tmp' "net.exe" stop RZ_Service

Запускает на исполнение:

'<SYSTEM32>\sc.exe' delete RZ_CAD
'<SYSTEM32>\sc.exe' delete RZ_Service
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe" "RemoteZilla-Server" ENABLE ALL
'<SYSTEM32>\net1.exe' start "RZ_Service"
'<SYSTEM32>\netsh.exe' firewall add allowedprogram "%PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe" "RemoteZilla-Server" ENABLE
'<SYSTEM32>\net1.exe' stop RZ_CAD
'<SYSTEM32>\sc.exe' stop RZ_CAD
'<SYSTEM32>\sc.exe' stop RZ_Service
'<SYSTEM32>\net.exe' stop RZ_Service
'<SYSTEM32>\net.exe' stop RZ_CAD
'<SYSTEM32>\net1.exe' stop RZ_Service

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\RZ2.3.7201304202108\UnRZ.txt
%PROGRAM_FILES%\RZ2.3.7201304202108\Flag.txt
%TEMP%\nsf5.tmp\RemoteZilla.exe
%TEMP%\nsf5.tmp\rzUninst.exe
%TEMP%\nsf5.tmp\cad.exe
%TEMP%\nsf5.tmp\ns9.tmp
%TEMP%\nsi3.tmp\RZ-Done.txt
%TEMP%\nsf5.tmp\nsA.tmp
%PROGRAM_FILES%\RZ2.3.7201304202108\RZ.txt
%TEMP%\nsf5.tmp\nsB.tmp
%HOMEPATH%\Desktop\Stop Remote Support.lnk
%PROGRAM_FILES%\RZ2.3.7201304202108\StopRZ.reg
%PROGRAM_FILES%\RZ2.3.7201304202108\ToolBox\RemoteZilla.lnk
<SYSTEM32>\config\systemprofile\Local Settings\Temp\3-973804947.txt
<SYSTEM32>\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\6YQRA29M\3-973804947[1].txt
%TEMP%\nsi3.tmp\Configs\RZ2.3.7.txt
%PROGRAM_FILES%\RZ2.3.7201304202108\RZuninst.exe
%TEMP%\nsi3.tmp\ToolBox\RZ2.3.7.txt
%TEMP%\nsf5.tmp\nsD.tmp
%TEMP%\nsf5.tmp\nsC.tmp
%TEMP%\nsf5.tmp\ns8.tmp
%TEMP%\nsi3.tmp\Icon1.ico
%TEMP%\nsi3.tmp\Logo.bmp
%TEMP%\nsi3.tmp\Icon2.ico
%TEMP%\nsi3.tmp\Ring.wav
%TEMP%\nsi3.tmp\Blank.bmp
%TEMP%\nsi3.tmp\RZ_purplepine.no-ip.biz_5500.exe
%TEMP%\nsc2.tmp
%TEMP%\nsi3.tmp\rzHelper.exe
%TEMP%\nsi3.tmp\Splash.bmp
%TEMP%\nsi3.tmp\RZ.txt
%HOMEPATH%\My Documents\My Videos\Desktop.ini
%HOMEPATH%\Start Menu\Programs\Administrative Tools\desktop.ini
%TEMP%\nsf5.tmp\nsExec.dll
%TEMP%\nsf5.tmp\ns7.tmp
%TEMP%\nsf5.tmp\ns6.tmp
%TEMP%\nsi3.tmp\rc4.dat
%TEMP%\nsi3.tmp\MSRC4Plugin.dsm
%TEMP%\nsi3.tmp\Splash.dll
%PROGRAM_FILES%\RZ2.3.7201304202108\Advantig.txt
%TEMP%\nsisdt.dll

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

Перемещает следующие файлы:

%TEMP%\nsi3.tmp\MSRC4Plugin.dsm в %PROGRAM_FILES%\RZ2.3.7201304202108\MSRC4Plugin.dsm
%TEMP%\nsi3.tmp\rzHelper.exe в %PROGRAM_FILES%\RZ2.3.7201304202108\RZHelper.exe
%TEMP%\nsi3.tmp\rc4.dat в %PROGRAM_FILES%\RZ2.3.7201304202108\rc4.dat
%TEMP%\nsf5.tmp\RemoteZilla.exe в %PROGRAM_FILES%\RZ2.3.7201304202108\RemoteZilla.exe
%TEMP%\nsf5.tmp\rzUninst.exe в %PROGRAM_FILES%\RZ2.3.7201304202108\Uninst.exe
%TEMP%\nsi3.tmp\RZ.txt в %PROGRAM_FILES%\RZ2.3.7201304202108\RZ.txt
%TEMP%\nsi3.tmp\Icon1.ico в %PROGRAM_FILES%\RZ2.3.7201304202108\icon1.ico
%TEMP%\nsi3.tmp\Logo.bmp в %PROGRAM_FILES%\RZ2.3.7201304202108\Logo.bmp
%TEMP%\nsi3.tmp\Icon2.ico в %PROGRAM_FILES%\RZ2.3.7201304202108\icon2.ico
%TEMP%\nsi3.tmp\Ring.wav в %PROGRAM_FILES%\RZ2.3.7201304202108\Ring.wav
%TEMP%\nsi3.tmp\Blank.bmp в %PROGRAM_FILES%\RZ2.3.7201304202108\Blank.bmp