Trojan.DownLoader5.9164

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\prvdisk] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\icloudupsrv] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\PolicyAgent] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\nszA.tmp\nsD.tmp sc start icloudupsrv
%TEMP%\nszA.tmp\nsC.tmp sc description icloudupsrv "К№УГICould CahceјјКхМб№©ЅшРР»ҐБЄНшдЇААФ¤¶БјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМб№©µДјУЛЩ№¦ДЬЎЈ"
%TEMP%\nszA.tmp\nsB.tmp sc create icloudupsrv binpath= "%CommonProgramFiles%\sougou\icloud.exe" type= share start= auto displayname= "Ianno Web Cache Services"
%CommonProgramFiles%\sougou\icloud.exe
%TEMP%\~nsu.tmp\Au_.exe _?=%PROGRAM_FILES%\ezottsvnko\
%PROGRAM_FILES%\ezottsvnko\un0611033200530.exe
%TEMP%\nszA.tmp\nsE.tmp sc create prvdisk binpath= <SYSTEM32>\PrvMon\prvdisk.sys type= kernel start= system group= Base tag= yes
%PROGRAM_FILES%\ezottsvnko\mysetup.exe
%TEMP%\nsn2.tmp\ns5.tmp sc start PolicyAgent
%TEMP%\nsn2.tmp\ns4.tmp cmd /c "<Текущая директория>\regdllc.bat"
%TEMP%\nsn2.tmp\ns3.tmp cmd /c ipconfig /all >"<Текущая директория>\ip.txt"
%TEMP%\nsn2.tmp\ns6.tmp sc config PolicyAgent start= auto
%TEMP%\nsn2.tmp\ns8.tmp cmd /c arp -d
%PROGRAM_FILES%\ezottsvnko\xnrmtohtgse.exe -file s42zaf55neucsa.txt
%TEMP%\nsn2.tmp\ns7.tmp "xnrmtohtgse.exe" -file s42zaf55neucsa.txt

Запускает на исполнение:

<SYSTEM32>\sc.exe description icloudupsrv "К№УГICould CahceјјКхМб№©ЅшРР»ҐБЄНшдЇААФ¤¶БјУЛЩ·юОсЎЈИз№ыНЈЦ№ёГ·юОсЈ¬ФтјЖЛг»ъЅ«І»ѕЯ±ёХвР©јјКхМб№©µДјУЛЩ№¦ДЬЎЈ"
<SYSTEM32>\sc.exe create icloudupsrv binpath= "%CommonProgramFiles%\sougou\icloud.exe" type= share start= auto displayname= "Ianno Web Cache Services"
<SYSTEM32>\sc.exe start icloudupsrv
<SYSTEM32>\wscript.exe "%CommonProgramFiles%\sougou\note.vbs"
<SYSTEM32>\sc.exe create prvdisk binpath= <SYSTEM32>\PrvMon\prvdisk.sys type= kernel start= system group= Base tag= yes
<SYSTEM32>\arp.exe -d
<SYSTEM32>\cmd.exe /c "<Текущая директория>\regdllc.bat"
<SYSTEM32>\ipconfig.exe /all
<SYSTEM32>\arp.exe -s 10.0.1.1 00-00-00-00-00-01 10.0.1.2
<SYSTEM32>\sc.exe config PolicyAgent start= auto
<SYSTEM32>\sc.exe start PolicyAgent

Изменения в файловой системе:

Создает следующие файлы:

%CommonProgramFiles%\sougou\config-s.xml
%CommonProgramFiles%\sougou\prvdisk.sys
%CommonProgramFiles%\sougou\suject.db
%TEMP%\nszA.tmp\System.dll
%TEMP%\nszA.tmp\AccessControl.dll
%CommonProgramFiles%\sougou\config-n.xml
%CommonProgramFiles%\sougou\ypac.txt
%CommonProgramFiles%\sougou\sqlite3.dll
%PROGRAM_FILES%\ezottsvnko\mysetup.exe
%CommonProgramFiles%\sougou\icloud.exe
%CommonProgramFiles%\sougou\vison.txt
%CommonProgramFiles%\sougou\note.txt
%CommonProgramFiles%\sougou\note.vbs
%TEMP%\nszA.tmp\nsE.tmp
<SYSTEM32>\PrvMon\prvdisk.sys
%CommonProgramFiles%\sougou\suject.db-journal
%TEMP%\~nsu.tmp\Au_.exe
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\ol[1].asp
%TEMP%\nszA.tmp\nsC.tmp
%TEMP%\nszA.tmp\nsB.tmp
%TEMP%\nszA.tmp\nsExec.dll
%WINDIR%\tudouva.pac
%CommonProgramFiles%\sougou\pro.txt
%TEMP%\nszA.tmp\nsD.tmp
%TEMP%\nsn2.tmp\InetLoad.dll
%TEMP%\nsn2.tmp\nsRandom.dll
%PROGRAM_FILES%\ezottsvnko\un0611033200530.exe
<Текущая директория>\op.ini
%TEMP%\nsn2.tmp\nsplugin.dll
%TEMP%\nsn2.tmp\Internet.dll
%PROGRAM_FILES%\ezottsvnko\reginfo.xml
%PROGRAM_FILES%\ezottsvnko\s0001.xml
%PROGRAM_FILES%\ezottsvnko\menu.xml
%PROGRAM_FILES%\ezottsvnko\temp0611033200530.ini
%TEMP%\nsn2.tmp\System.dll
%PROGRAM_FILES%\ezottsvnko\ser000.xml
%TEMP%\nsn2.tmp\ns5.tmp
%TEMP%\nsn2.tmp\ns4.tmp
<Текущая директория>\regdllc.bat
%TEMP%\nsn2.tmp\ns8.tmp
%TEMP%\nsn2.tmp\ns7.tmp
%TEMP%\nsn2.tmp\ns6.tmp
%PROGRAM_FILES%\ezottsvnko\s42zaf55neucsa.txt
<Текущая директория>\tx.ini
%PROGRAM_FILES%\ezottsvnko\xnrmtohtgse.exe
<Текущая директория>\ip.txt
%TEMP%\nsn2.tmp\ns3.tmp
%TEMP%\nsn2.tmp\nsExec.dll