Trojan.DownLoader8.50324

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bipro' = 'rundll32 "%WINDIR%\$XNTUninstall643$\isgqo.dll",,Run'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\ihsijxm.exe'
'%TEMP%\revnk.exe'
'%TEMP%\fklqs.exe'
'%TEMP%\elgby.exe'
'%TEMP%\gnlij.exe'
'%TEMP%\gaiqkxa.exe'
'%TEMP%\-1998166001'
'%TEMP%\fefor.exe'
'%TEMP%\xwrsxu.exe'
'%TEMP%\ogjl.exe'
'%TEMP%\jbtxlrjk.exe'
'%TEMP%\hrhfscb.exe'
'C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2517.exe' /SP- /suppressmsgboxes /verysilent /noicons /norestart
'C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2518.exe' /SP- /suppressmsgboxes /verysilent /noicons /norestart
'%TEMP%\-1998166001' (загружен из сети Интернет)
'%TEMP%\gnlij.exe' (загружен из сети Интернет)
'%TEMP%\gaiqkxa.exe' (загружен из сети Интернет)
'%TEMP%\fefor.exe' (загружен из сети Интернет)
'%TEMP%\hrhfscb.exe' (загружен из сети Интернет)
'%TEMP%\fklqs.exe' (загружен из сети Интернет)
'%TEMP%\ogjl.exe' (загружен из сети Интернет)
'%TEMP%\xwrsxu.exe' (загружен из сети Интернет)
'%TEMP%\elgby.exe' (загружен из сети Интернет)
'%TEMP%\revnk.exe' (загружен из сети Интернет)
'%TEMP%\ihsijxm.exe' (загружен из сети Интернет)
'%TEMP%\jbtxlrjk.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\svchost.exe'
'<SYSTEM32>\rundll32.exe' "%WINDIR%\$XNTUninstall643$\isgqo.dll",,Run

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe
%WINDIR%\Explorer.EXE

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\oxybcg[1].php
%TEMP%\revnk.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cpdqhuu[1].php
%TEMP%\ihsijxm.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\veivm[1].php
%TEMP%\elgby.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\zmmmdq[1].php
%TEMP%\-1998166001
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ererijznnr[1].php
%TEMP%\gaiqkxa.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xlycctxmj[1].php
%TEMP%\gnlij.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\nabfswwnn[1].php
%TEMP%\fefor.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ciivvmnd[1].php
%TEMP%\fklqs.exe
%WINDIR%\$XNTUninstall643$\apUninstall.exe
%TEMP%\nsv3.tmp\InetLoad.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\qanarmz[1].php
%WINDIR%\$XNTUninstall643$\isgqo.dll
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2518.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2517.exe
%WINDIR%\$XNTUninstall643$\gcfqv.dll
%TEMP%\hrhfscb.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\sfsswwaoef[1].php
%TEMP%\xwrsxu.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xklypptgx[1].php
%TEMP%\ogjl.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\fsggtxx[1].php
%TEMP%\jbtxlrjk.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\dreiizm[1].php

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2517.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2518.exe

Удаляет следующие файлы:

<SYSTEM32>\svchost.exe
C:\Temp\91337e03-fc3f-4959-b06c-3e832a2545fc\OfferApp-2518.exe

Сетевая активность:

Подключается к:

'localhost':1039
'cn##.##s-optimizer.biz':80
're#####.mag-net-work.com':80
'aa###nge.com':80

TCP:

Запросы HTTP GET:

aa###nge.com/pdzqq/cpdqhuu.php?ad####################################
aa###nge.com/pdzqq/oxybcg.php?ad####################################
aa###nge.com/pdzqq/zmmmdq.php?ad####################################
aa###nge.com/pdzqq/nabfswwnn.php?ad####################################
aa###nge.com/pdzqq/xlycctxmj.php?ad##################################################################
aa###nge.com/pdzqq/ererijznnr.php?ad####################################
aa###nge.com/pdzqq/ciivvmnd.php?ad####################################
aa###nge.com/pdzqq/fsggtxx.php?ad####################################
aa###nge.com/pdzqq/qanarmz.php?ad####################################
re#####.mag-net-work.com/instl/nsis.srf?cm########################################################################################################
aa###nge.com/pdzqq/dreiizm.php?ad####################################
aa###nge.com/pdzqq/veivm.php?ad####################################
aa###nge.com/pdzqq/xklypptgx.php?ad####################################
aa###nge.com/pdzqq/sfsswwaoef.php?ad####################################