Trojan.DownLoader10.35750

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '360°?E«A??e' = '%PROGRAM_FILES%\WinRAR\Formats\360Start.exe'
[<HKLM>\SOFTWARE\Classes\bestietest\shell\open\command] '' = '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.exe http://www.55x.cn/'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

расширений файлов

Создает и запускает на исполнение:

'%PROGRAM_FILES%\WinRAR\Formats\360se.exe' ???
'%PROGRAM_FILES%\WinRAR\Formats\360Start.exe' 命令行

Запускает на исполнение:

'<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\WinRAR\Formats\KB981400.vbs" 0
'%WINDIR%\regedit.exe' /s "%PROGRAM_FILES%\WinRAR\Formats\e.reg"
'<SYSTEM32>\rundll32.exe' advpack.dll,DelNodeRunDLL32 %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
'<SYSTEM32>\msiexec.exe' /i "<Текущая директория>\ёЯ·ЦЅЕ±ѕ.msi"
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding 5C81179F173CDCA1E98EDB0F03F815C0

Изменяет следующие настройки проводника Windows (Windows Explorer):

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoInternetIcon' = '00000001'

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Microsoft\Internet Explorer\Main] 'Window Title' = 'МмјЈНв№ТЙзЗшwww.99tianji.comУОП·Нв№ТПВФШ °®їґКйРЎЛµФД¶БНшwww.2ks.cnГв·СРЎЛµФД¶БПВФШ'

Изменения в файловой системе:

Создает следующие файлы:

C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING.VER
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING1.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.DATA
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\MAPPING2.MAP
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\drivetable.txt
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\$WinMgmt.CFG
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\INDEX.BTR
%WINDIR%\Installer\MSI3.tmp
%PROGRAM_FILES%\WinRAR\Formats\e.reg
%PROGRAM_FILES%\WinRAR\Formats\360Start.exe
%HOMEPATH%\Desktop\Internet Explorer.e
%ALLUSERSPROFILE%\Start Menu\Internet Explorer.e
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.e
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\Repository\FS\OBJECTS.MAP
C:\Config.Msi\3efb3.rbs
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\RestorePointSize
%PROGRAM_FILES%\WinRAR\Formats\360se.exe
%PROGRAM_FILES%\WinRAR\Formats\KB981400.vbs
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\rp.log
%WINDIR%\Installer\MSI2.tmp
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
%TEMP%\3e05e.msi
<Текущая директория>\ёЯ·ЦЅЕ±ѕ.msi
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\x5buluo[1]
%WINDIR%\Installer\MSI1.tmp
%WINDIR%\Installer\3efb0.msi
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SYSTEM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SOFTWARE
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SAM
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\domain.txt
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\ComDb.Dat
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-2052111302-484763869-725345543-1003
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_MACHINE_SECURITY
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP16\snapshot\_REGISTRY_USER_.DEFAULT