Trojan.AVKill.28769

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Control\Session Manager] 'BootExecute' = 'autocheck autochk *'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Iexplorenet' = 'c:\programdata\Iexplorenet.exe'

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\regsvr32.exe ashDipNtw.dll /s
<SYSTEM32>\rundll32.exe shell32.dll,Control_RunDLL "C:\programdata\RENATINHA-BBB12.html.cpl",
<SYSTEM32>\cmd.exe /c ""c:\programdata\ini.bat" "

Завершает или пытается завершить

следующие пользовательские процессы:

fsavgui.exe

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\QQAAAL6N_EG4TSviVRH2jlCw82tlOuPQa-e14kp-jzJW-908wMsZoK6uQMjlhBGiMa4MpKAXuqfQNLpMu88nGfLS5c-MrrOxO_4TUJeTKQb4cnxyAJtU9VAO1JLB6w7SjiJtR0Uhzx-uvhdmUw[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ArYxBGHCAAAtZcg[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\bbb[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\QQAAAL6N_EG4TSviVRH2jlCw82tCvrmE9Bs8_Co9cfTCKceqAru9G71QvqzwXBVtinjktHYEnLG7oSldOCHZ3esy3v5Hz7R77leYY7G427eXDa13AJtU9VAMtphLpE_zEZvSQauL7NAx6qC0dg[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ArN3UmUCAAAOjXK[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ArOz4-WCAAAipiH[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ArN3UmUCAAAOjXK[1].png
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ArNyIJOCIAA9jUE[1].jpg
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\RAAAAL6N_EG4TSviVRH2jlCw82vnRPx7gjph0D3K98fMqdOq1CKFXGbSsGYFU5b_1f3P6TkHkg3j0uo9RLajWNA6TUdiRcWBT417cyflPuHYE5jHAJtU9VBY5Wl1o3jz0YWh5VR1mSCKSWfC9A[1].jpg
C:\programdata\autoconfig.log
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\superdll[1].mp3
C:\programdata\ini.bat
C:\programdata\RENATINHA-BBB12.html
<SYSTEM32>\ashDipNtw.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\MAS15P[1]
C:\programdata\msn.gif
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\supernet[1].mp3
C:\programdata\Iexplorenet.exe

Сетевая активность:

Подключается к:

'2.##.#logspot.com':80
'1.##.#logspot.com':80
'4.##.#logspot.com':80
'3.##.#logspot.com':80
'bi#.ly':80
'www.no###socios.com':80
'fa###ovo.com':80
'localhost':1038

TCP:

Запросы HTTP GET:

3.##.#logspot.com/--zC8IAgLae8/T9x9YW_rNHI/AAAAAAAAAD0/rgSyqd8i0g0/s400/RAAAAL6N_EG4TSviVRH2jlCw82vnRPx7gjph0D3K98fMqdOq1CKFXGbSsGYFU5b_1f3P6TkHkg3j0uo9RLajWNA6TUdiRcWBT417cyflPuHYE5jHAJtU9VBY5Wl1o3jz0YWh5VR1mSCKSWfC9A.jpg
2.##.#logspot.com/-6ds_Ij30vbI/T9x9Y3foq6I/AAAAAAAAAEM/D-nm6y_6P70/s400/ArN3UmUCAAAOjXK.png
1.##.#logspot.com/-AFoBS3tqdZw/T9x9Yvy8h0I/AAAAAAAAAEA/hZabDOfgooQ/s400/ArYxBGHCAAAtZcg.jpg
4.##.#logspot.com/-dy7eOEvZNzM/T9x9pAJx_NI/AAAAAAAAAEo/rpZ0aor3LQ8/s400/ArN3UmUCAAAOjXK.png
2.##.#logspot.com/-NC35PfuHjSY/T9x9o0vM6QI/AAAAAAAAAEc/T8VbPdz9OCY/s400/ArOz4-WCAAAipiH.png
3.##.#logspot.com/-KepwTk-e8Fs/T9x9puHiRoI/AAAAAAAAAE0/XTlxdl1VCdg/s400/ArNyIJOCIAA9jUE.jpg
bi#.ly/MAS15P
www.no###socios.com/avioes15062012/supernet.mp3
www.no###socios.com/avioes15062012/superdll.mp3
2.##.#logspot.com/-yXg3b1u8k30/T9x9YMIXKlI/AAAAAAAAADo/EAlJXSOEW64/s400/QQAAAL6N_EG4TSviVRH2jlCw82tlOuPQa-e14kp-jzJW-908wMsZoK6uQMjlhBGiMa4MpKAXuqfQNLpMu88nGfLS5c-MrrOxO_4TUJeTKQb4cnxyAJtU9VAO1JLB6w7SjiJtR0Uhzx-uvhdmUw.jpg
1.##.#logspot.com/-SvoKUbcYqLM/T9x9XoOEgzI/AAAAAAAAADc/vgRJqjP15xc/s400/QQAAAL6N_EG4TSviVRH2jlCw82tCvrmE9Bs8_Co9cfTCKceqAru9G71QvqzwXBVtinjktHYEnLG7oSldOCHZ3esy3v5Hz7R77leYY7G427eXDa13AJtU9VAMtphLpE_zEZvSQauL7NAx6qC0dg.jpg
fa###ovo.com/wp-content/uploads/2012/01/bbb.jpg