Trojan.DownLoader10.8516

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ogufwgol' = '"%WINDIR%\hdrwales.exe"'

Вредоносные функции:

Запускает на исполнение:

'%WINDIR%\explorer.exe'
'<SYSTEM32>\attrib.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\alg.exe
<SYSTEM32>\services.exe
<SYSTEM32>\svchost.exe
%WINDIR%\explorer.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\smss.exe
<SYSTEM32>\attrib.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\ctfmon.exe
<SYSTEM32>\spoolsv.exe

большое количество пользовательских процессов.

Изменения в файловой системе:

Создает следующие файлы:

C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\ccaed567-10d9-457d-ab92-61a1b7ac5caf
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\e36542bb-6cf1-46e7-91f7-42f44467eda5
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\2ac57e85-4344-47c8-b265-8f6ce7e7538b
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\a3bac061-4327-45c0-80d7-048c88a75f71
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\f4a66400-73a3-4bbf-ad1c-2d5a3576445b
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\cf66f947-357b-4890-b1f7-ad2c9879483a
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\fc61707e-7433-45a8-ab00-e46a4e696a3d
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\2d00c5e0-e4f8-4dbd-9c7e-5c1ed236ca5f
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\77f5ed6c-5851-40a8-a3b5-947f6f0674a0
C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\3b66a2f18fb5544fec674f7b9bc641f8_23ef5514-3059-436f-a4a7-4cefaab20eb1
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\b87767f7-d181-40aa-9819-2f3e56f1fba5
C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\8d4f031a-2180-4de5-b77a-6c3dd7d25d16
%ALLUSERSPROFILE%\Application Data\eragommf\urdfazyf.dat
%ALLUSERSPROFILE%\Application Data\owotoqys\ihijapic.dat
%ALLUSERSPROFILE%\Application Data\Sun\ihijapic.bkp
%ALLUSERSPROFILE%\Application Data\owotoqys\ebesusuf.dat
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\dad110e5-9e6a-4c18-9007-c610a6f64098
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1
%ALLUSERSPROFILE%\Application Data\epuxbtpw\orifhnim.dat
%ALLUSERSPROFILE%\Application Data\enktmxih\ipynesht.dat
%ALLUSERSPROFILE%\Application Data\owotoqys\evuhajul.dat
%ALLUSERSPROFILE%\Application Data\Sun\ebesusuf.bkp
%ALLUSERSPROFILE%\Application Data\owotoqys\ifexixew.dat
%WINDIR%\hdrwales.exe