Trojan.DownLoader5.46930

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

Вредоносные функции:

Создает и запускает на исполнение:

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c %TEMP%\zs.bat
<SYSTEM32>\cacls.exe "%ALLUSERSPROFILE%\Application Data\Kingsoft\kws\kws.ini" /p everyone:f
<SYSTEM32>\ping.exe -n 3 127.0.0.1
<SYSTEM32>\ping.exe -n 10 127.0.0.1
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\╘┌╧▀╡ч╙░.url" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\├└┼о╩╙╞╡.url" /p everyone:f
<SYSTEM32>\cacls.exe "%HOMEPATH%\Desktop\░╦╪╘╔л═╝.url" /p everyone:f
<SYSTEM32>\expand.exe "%TEMP%\ico.cab" -F:*.* "<SYSTEM32>"
<SYSTEM32>\cmd.exe /c %TEMP%\aBTtG.bat
%WINDIR%\explorer.exe http://www.77##h.com/?uk#
<SYSTEM32>\cmd.exe /c %TEMP%\9jtBB.bat
<SYSTEM32>\cmd.exe /c %TEMP%\lnk.bat
<SYSTEM32>\expand.exe "%TEMP%\url.cab" -F:*.* "%HOMEPATH%\Desktop
<SYSTEM32>\expand.exe "%TEMP%\kingsoft.cab" -F:*.* "%PROGRAM_FILES%\kingsofta"

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Windows NT\XSyYy.dll
%TEMP%\9jtBB.bat
<Служебный элемент>
%PROGRAM_FILES%\Windows NT\Pinball\XSyYy.dll
%ALLUSERSPROFILE%\Desktopkws\kws.ini
%PROGRAM_FILES%\MSN Gaming Zone\Windows\XSyYy.dll
<SYSTEM32>\Music.ico
%PROGRAM_FILES%\Outlook Express\XSyYy.dll
%TEMP%\kingsoft.cab
%PROGRAM_FILES%\kingsofta\kingsoft.cab
%HOMEPATH%\Desktop\ФЪПЯµзУ°.url
%HOMEPATH%\Desktop\МФ±¦№єОп.url
%TEMP%\Vshion9312.exe
%TEMP%\Chaosuq.exe
%HOMEPATH%\Desktop\ГАЕ®КУЖµ.url
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\779dh[1]
%ALLUSERSPROFILE%\Start Menu\ЅрЙЅНш¶Ь.lnk
%HOMEPATH%\Desktop\БчРРТфАЦ.url
%HOMEPATH%\Desktop\°ЛШФЙ«Нј.url
<SYSTEM32>\Film.ico
%PROGRAM_FILES%\FireFox\uninstall\XSyYy.dll
%PROGRAM_FILES%\FireFox\XSyYy.dll
%PROGRAM_FILES%\Movie Maker\XSyYy.dll
%PROGRAM_FILES%\Messenger\XSyYy.dll
%CommonProgramFiles%\Microsoft Shared\MSInfo\XSyYy.dll
%TEMP%\zs.bat
%ALLUSERSPROFILE%\Start Menu\<Имя вируса>.exe
%CommonProgramFiles%\Microsoft Shared\DW\XSyYy.dll
C:\Far2\XSyYy.dll
%TEMP%\lnk.bat
<SYSTEM32>\taobao.ico
%PROGRAM_FILES%\MSN\MSNCoreFiles\Install\MSN9Components\XSyYy.dll
<SYSTEM32>\Beauty.ico
<SYSTEM32>\Video.ico
%PROGRAM_FILES%\MSN\MSNCoreFiles\Install\XSyYy.dll
%TEMP%\url.cab
%TEMP%\ico.cab
%TEMP%\aBTtG.bat
<SYSTEM32>\safe.ico