Trojan.DownLoader10.45147

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Brmas] 'Start' = '00000001'

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Brmas\bin\Brmas.exe'
'%PROGRAM_FILES%\Brmas\bin\brmas_pc[bsufxj].exe'

Перехватывает следующие функции в SSDT (System Service Descriptor Table):

NtQueryValueKey, драйвер-обработчик: Brmas.sys
NtQuerySystemInformation, драйвер-обработчик: Brmas.sys
NtReadFile, драйвер-обработчик: Brmas.sys
NtTerminateProcess, драйвер-обработчик: Brmas.sys
NtSetValueKey, драйвер-обработчик: Brmas.sys
NtOpenKey, драйвер-обработчик: Brmas.sys
NtDeleteKey, драйвер-обработчик: Brmas.sys
NtCreateKey, драйвер-обработчик: Brmas.sys
NtDeleteValueKey, драйвер-обработчик: Brmas.sys
NtEnumerateValueKey, драйвер-обработчик: Brmas.sys
NtEnumerateKey, драйвер-обработчик: Brmas.sys

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Brmas\bin\uninst.exe
%APPDATA%\Brmas\bin\brmas\db3.brmas
%APPDATA%\Brmas\setting.ini
%PROGRAM_FILES%\Brmas\setting.ini
%APPDATA%\Brmas\bin\brmas\db1.brmas
%PROGRAM_FILES%\Brmas\bin\InstallHelper.dll
%PROGRAM_FILES%\Brmas\bin\CheckList.dll
%PROGRAM_FILES%\Brmas\bin\brmas\db0.brmas
%PROGRAM_FILES%\Brmas\bin\HomeAssist.dll
%HOMEPATH%\Start Menu\Programs\浏览器修复大师\浏览器修复大师.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\updateset[1].209
%APPDATA%\Brmas\bin\brmas\db2.brmas
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update.safe.my.iedun[1].209&mac_add=00-00-00-00-00-01&hid=11000000000000000001&locked=no&url=&md5=ec66584feea538eb13d0f80a74cff3df&rand=231609
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\install[1].209&mac_add=00-00-00-00-00-01&hid=11000000000000000001&md5=ec66584feea538eb13d0f80a74cff3df&rand=225765
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iecafe[1].209
%PROGRAM_FILES%\Brmas\bin\iexplore.lnk
%HOMEPATH%\Start Menu\Programs\浏览器修复大师\卸载浏览器修复大师.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\homepageset[1].209
%PROGRAM_FILES%\Brmas\bin\ProtConfig.dat
%PROGRAM_FILES%\Brmas\bin\brmas_pc[bsufxj].exe
%PROGRAM_FILES%\Brmas\bin\url.ini
%HOMEPATH%\Desktop\2345НшЦ·µјєЅ.lnk
%HOMEPATH%\Desktop\hao123НшЦ·µјєЅ.lnk
%PROGRAM_FILES%\Brmas\bin\haoparam.ini
%PROGRAM_FILES%\Brmas\bin\2345_kuujswsa_desk.exe
%TEMP%\nsz2.tmp
%PROGRAM_FILES%\Brmas\bin\hao123.exe
%PROGRAM_FILES%\Brmas\bin\fanli.exe
%HOMEPATH%\Desktop\МФ±¦ЅсИХМШВф.lnk
%PROGRAM_FILES%\Brmas\bin\BrowserMgr.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.sys
%PROGRAM_FILES%\Brmas\bin\stat.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.dll
%PROGRAM_FILES%\Brmas\bin\Brmas.exe
%TEMP%\nsp5.tmp\System.dll
%TEMP%\nsk4.tmp
%TEMP%\CheckList.dll
%PROGRAM_FILES%\Brmas\bin\install.log

Удаляет следующие файлы:

%PROGRAM_FILES%\Brmas\bin\uninst.exe
%PROGRAM_FILES%\Brmas\bin\brmas_pc[bsufxj].exe
%TEMP%\CheckList.dll
%TEMP%\nsp5.tmp\System.dll

Сетевая активность:

Подключается к:

'up####.safe.my.iedun.cn':80
'localhost':1035

TCP:

Запросы HTTP GET:

up####.safe.my.iedun.cn/install/?us##############################################################################################################################
up####.safe.my.iedun.cn/?us#############################################################################################################################################
up####.safe.my.iedun.cn/home1/updateset/updateset/?co#######################
up####.safe.my.iedun.cn/home1/homepageset/?co#######################
up####.safe.my.iedun.cn/home1/iecafe/iecafe/?co#######################

UDP: