Trojan.DownLoader16.23325

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Location Function Control Volume WebClient' = '<SYSTEM32>\sjebaspkx.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Adapter Storage Bluetooth CNG Link-Layer] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\hbyfxhucdh.exe' "<SYSTEM32>\sjebaspkx.exe"
'%WINDIR%\Temp\y5uufz3v8lcdnhi.exe' -r 37471 tcp
'%TEMP%\y5uufz3sljcdnhicgjvac.exe'
'<SYSTEM32>\sjebaspkx.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\wqvabyd\run
<SYSTEM32>\wqvabyd\rng
%WINDIR%\Temp\y5uufz3v8lcdnhi.exe
<SYSTEM32>\wqvabyd\cfg
<SYSTEM32>\hbyfxhucdh.exe
%TEMP%\y5uufz3sljcdnhicgjvac.exe
<SYSTEM32>\wqvabyd\tst
<SYSTEM32>\sjebaspkx.exe
<SYSTEM32>\wqvabyd\etc

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\hbyfxhucdh.exe
<SYSTEM32>\sjebaspkx.exe

Удаляет следующие файлы:

%WINDIR%\Temp\y5uufz3v8lcdnhi.exe
%TEMP%\y5uufz3sljcdnhicgjvac.exe
<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'de###all.net':80
'sh###tall.net':80
'sh###cook.net':80
'sh###next.net':80
'de###ook.net':80
'mo###next.net':80
'ti###ook.net':80
'ti###ext.net':80
'ti###een.net':80
'mo###been.net':80
'fr###ycook.net':80
'pu###ook.net':80
'pu###ext.net':80
'pu###een.net':80
'fr###ynext.net':80
'sh###been.net':80
'de###ext.net':80
'de###een.net':80
'fr###ytall.net':80
'pu###all.net':80
'up###ail.net':80
'wa###easy.net':80
'ta###hand.net':80
'sp###ont.net':80
'wa###since.net':80
'sa###econd.net':80
'so###blood.net':80
'pi###rave.net':80
'ro###tock.net':80
'ab###ead.net':80
'li###een.net':80
'en###been.net':80
'mo###tall.net':80
'mo###cook.net':80
'ti###all.net':80
'ma###han.net':80
'of###aunt.net':80
'dr###wide.net':80
'wh###ifth.net':80
'pi###ake.net':80

TCP:

Запросы HTTP GET:

http://de###all.net/index.php?me################################################
http://sh###tall.net/index.php?me################################################
http://sh###cook.net/index.php?me################################################
http://sh###next.net/index.php?me################################################
http://de###ook.net/index.php?me################################################
http://mo###next.net/index.php?me################################################
http://ti###ook.net/index.php?me################################################
http://ti###ext.net/index.php?me################################################
http://ti###een.net/index.php?me################################################
http://mo###been.net/index.php?me################################################
http://fr###ycook.net/index.php?me################################################
http://pu###ook.net/index.php?me################################################
http://pu###ext.net/index.php?me################################################
http://pu###een.net/index.php?me################################################
http://fr###ynext.net/index.php?me################################################
http://sh###been.net/index.php?me################################################
http://de###ext.net/index.php?me################################################
http://de###een.net/index.php?me################################################
http://fr###ytall.net/index.php?me################################################
http://pu###all.net/index.php?me################################################
http://up###ail.net/index.php?me################################################
http://wa###easy.net/index.php?me################################################
http://ta###hand.net/index.php?me################################################
http://sp###ont.net/index.php?me################################################
http://wa###since.net/index.php?me################################################
http://sa###econd.net/index.php?me################################################
http://so###blood.net/index.php?me################################################
http://pi###rave.net/index.php?me################################################
http://ro###tock.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://li###een.net/index.php?me################################################
http://en###been.net/index.php?me################################################
http://mo###tall.net/index.php?me################################################
http://mo###cook.net/index.php?me################################################
http://ti###all.net/index.php?me################################################
http://ma###han.net/index.php?me################################################
http://of###aunt.net/index.php?me################################################
http://dr###wide.net/index.php?me################################################
http://wh###ifth.net/index.php?me################################################
http://pi###ake.net/index.php?me################################################