Trojan.DownLoader11.24882

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Energys Service152014494845734] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\mvhjmb.exe'
'%TEMP%\pczh_113_14975.exe'
'%TEMP%\nsq3.tmp\ns4.tmp' sc create "Energys Service152014494845734" displayname= "252014494845734" binPath= "%PROGRAM_FILES%\ainqngz4.7\energy.exe" start= auto
'%PROGRAM_FILES%\ainqngz4.7\Ainqngz4.7.exe'
'%TEMP%\nsq3.tmp\ns5.tmp' sc description "Energys Service152014494845734" "Energys Service352014494845734"
'%PROGRAM_FILES%\ainqngz4.7\kinetic.exe' /s/s
'%TEMP%\fhsli&abc_6_12007.exe'
'%TEMP%\.exe'
'%TEMP%\sjss_jing_114lm_14975.exe'
'%TEMP%\sjss_jing_114lm_14975.exe' (загружен из сети Интернет)
'%TEMP%\fhsli&abc_6_12007.exe' (загружен из сети Интернет)
'%TEMP%\.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\sc.exe' description "Energys Service152014494845734" "Energys Service352014494845734"
'<SYSTEM32>\sc.exe' create "Energys Service152014494845734" displayname= "252014494845734" binPath= "%PROGRAM_FILES%\ainqngz4.7\energy.exe" start= auto

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.7\°®Зй.ЦЗ»Ы.4.7.lnk
%TEMP%\nsq3.tmp\nsExec.dll
%TEMP%\nsq3.tmp\ns4.tmp
%PROGRAM_FILES%\ainqngz4.7\kinetic.exe
%PROGRAM_FILES%\ainqngz4.7\energy.exe
%HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.7\Р¶ФШ.lnk
%TEMP%\nsq3.tmp\md5dll.dll
%TEMP%\nsq3.tmp\Inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\zhibo2[1].html
%TEMP%\nsq3.tmp\ns5.tmp
%HOMEPATH%\Desktop\°®Зй.ЦЗ»Ы.4.7.lnk
%TEMP%\nsq3.tmp\Math.dll
%PROGRAM_FILES%\ainqngz4.7\uninstall.exe
%TEMP%\pczh_113_14975.exe
%TEMP%\mvhjmb.exe
%TEMP%\nsa2.tmp
%TEMP%\.exe
%TEMP%\fhsli&abc_6_12007.exe
%TEMP%\sjss_jing_114lm_14975.exe
%TEMP%\nsq3.tmp\NSISdl.dll
%HOMEPATH%\Templates\52014494845734\YYM_955WD30.gif
%PROGRAM_FILES%\ainqngz4.7\Ainqngz4.7.exe
%TEMP%\nsq3.tmp\Base64.dll
%TEMP%\nsq3.tmp\System.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\iclk[1]

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

up####.aiqingzhihui.com/0403/help1.html
95##cc.com/iclk/?zo##################
tv.###ingzhihui.com/zhibo2.html?id###################################
to####.aiqingzhihui.com/tjapi.php?ma########################################################################################################################################################################
www.ew##o.net/kuplay_238_66079.exe
lo##.10c.cc/admin/get.php?us#########################
cp####p.centenr.com/iclk/?zo#####################
so####re.m013.com/slience/fhsli&abc_6_12007.exe

UDP: