Trojan.DownLoader22.62929

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RAVCpl32.exe' = '%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\RAVCpl32.exe'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\net1.exe' STOP "avast! Antivirus"
'<SYSTEM32>\net1.exe' STOP "ksvsvc"
'<SYSTEM32>\net1.exe' STOP "AVG Firewall"
'%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\RAVCpl32.exe'
'%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\bmufa.exe' -a 5 -o http://mi####.eligius.st:8337 -u -p
'%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\phoenix.exe'
'%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\unzip.exe' -o "%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\tools.zip" -d "%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653"
'<SYSTEM32>\net.exe' STOP "Windows Defender"
'<SYSTEM32>\net.exe' STOP "AVG Firewall"
'<SYSTEM32>\net.exe' STOP "MsMpSvc"
'<SYSTEM32>\net1.exe' STOP "MsMpSvc"
'<SYSTEM32>\net1.exe' STOP "Windows Defender"
'<SYSTEM32>\net.exe' STOP "avast! Antivirus"
'<SYSTEM32>\net.exe' STOP "ksvsvc"

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\kernel.cl
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\__init__.py
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\6d6341b65811c62680eec0c9dd277dd7.elf
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\e40a914e63af6cf01ef404b6bba424e3.elf
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\phatk2\__init__.py
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\phatk2\__init__.pyo
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\__init__.pyo
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\phatk2\kernel.cl
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\tools.zip
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\unzip.exe
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\RAVCpl32.exe
<LS_APPDATA>\Realtek_Semiconductor\RAVCpl32.exe_Url_0uoshngfker2bzd3qotbsjbxi5ky4wsh\1.0.0.653\6lfsbyz1.newcfg
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\phoenix.exe
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\1d76aa56b95dc5c2196d99f0e84590e1.elf
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\phoenix.cfg
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\bmufa.exe

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\RAVCpl32.exe

Удаляет следующие файлы:

%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\phatk2\__init__.pyo
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\__init__.pyo

Перемещает следующие файлы:

<LS_APPDATA>\Realtek_Semiconductor\RAVCpl32.exe_Url_0uoshngfker2bzd3qotbsjbxi5ky4wsh\1.0.0.653\6lfsbyz1.newcfg в <LS_APPDATA>\Realtek_Semiconductor\RAVCpl32.exe_Url_0uoshngfker2bzd3qotbsjbxi5ky4wsh\1.0.0.653\user.config

Подменяет следующие файлы:

%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\phatk2\__init__.pyo
%APPDATA%\Realtek Semiconductor\Realtek HD Audio Manager\1.0.0.653\intel\plugins\opencl\__init__.pyo

Сетевая активность:

Подключается к: