Trojan.DownLoader4.42578

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SmartBoan' = '"%PROGRAM_FILES%\SmartBoan\SmartBoan.exe" /run1'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SinkUp' = '%PROGRAM_FILES%\NewSink\sinkup.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NewSink' = '%PROGRAM_FILES%\NewSink\NewSink.exe'

Вредоносные функции:

Создает и запускает на исполнение:

%PROGRAM_FILES%\SmartBoan\SmartBoan.exe /run0
%APPDATA%\winyi\withmoa_hidden_20101223.exe
<SYSTEM32>\letss_silent.exe (загружен из сети Интернет)
%PROGRAM_FILES%\SmartBoan\SmartBoancfg.exe /run0
%APPDATA%\winyi\SmartBoan_letss.exe
%APPDATA%\winyi\WinDV__WD03.exe
%APPDATA%\winyi\market_sell.exe
%APPDATA%\winyi\SinkInstall_html.exe
%APPDATA%\winyi\InfoTab__IF96.exe
"%TEMP%\InfoTab_IF96.exe" (загружен из сети Интернет)
"%TEMP%\WinDV_WD03.exe" (загружен из сети Интернет)

Запускает на исполнение:

<SYSTEM32>\cmd.exe /c ""%APPDATA%\winyi\Delete.bat" "
<SYSTEM32>\cmd.exe /c \DelUS.bat

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\NewSink\NewSink.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\version4[1]
%TEMP%\nsx5.tmp\DLLWebCount.dll
%APPDATA%\winyi\Delete.bat
%PROGRAM_FILES%\NewSink\UnInstall.exe
%PROGRAM_FILES%\NewSink\sinkup.exe
%PROGRAM_FILES%\SmartBoan\SmartBoancfg.exe
%PROGRAM_FILES%\SmartBoan\SmartBoanMon.exe
%ALLUSERSPROFILE%\Start Menu\Programs\SmartBoan\SmartBoan.lnk
%TEMP%\nsx5.tmp\System.dll
%PROGRAM_FILES%\SmartBoan\uninst.exe
%ALLUSERSPROFILE%\Start Menu\Programs\SmartBoan\SmartBoan Б¦°Е.lnk
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\WinDV_WD03[1].exe
<SYSTEM32>\letss_silent.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\letss_silent[1].exe
%TEMP%\nsp8.tmp\SelfDelete.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\version[1].ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\update_data[1].ini
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\partner_info[1].ini
%TEMP%\nsp8.tmp\DLLWebCount.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\reward[1].chk
%TEMP%\WinDV_WD03.exe
%TEMP%\nsx5.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\count[1].php
%TEMP%\InfoTab_IF96.exe
%WINDIR%\11market.ico
%WINDIR%\gmarket.ico
%TEMP%\nsg2.tmp\UAC.dll
%TEMP%\nsg2.tmp\SelfDelete.dll
%WINDIR%\auction.ico
%WINDIR%\ie_icon.ico
%APPDATA%\winyi\WinDV__WD03.exe
%APPDATA%\winyi\market_sell.exe
%APPDATA%\winyi\SinkInstall_html.exe
%APPDATA%\winyi\withmoa_hidden_20101223.exe
%APPDATA%\winyi\SmartBoan_letss.exe
%APPDATA%\winyi\InfoTab__IF96.exe
C:\DelUS.bat
%HOMEPATH%\Favorites\µрѕШјҐ, ЅГБр2.lnk
%HOMEPATH%\Favorites\јоЗО ЅєЖ®ё®Ж®,11№ш°Ў.lnk
%HOMEPATH%\Favorites\»х·Оїо јј»уА» ї©ґВ №®, Gё¶ДП.lnk
%TEMP%\nsf9.tmp\SelfDelete.dll
%WINDIR%\market_sell_uinst.exe
%HOMEPATH%\Favorites\ґзЅЕАМ ГЈґВ ёрµз ЅєЕёАП,їБјЗ.lnk
%TEMP%\nsx5.tmp\SelfDelete.dll
%TEMP%\nsisos.dll
%TEMP%\nsx5.tmp\processes_second.dll
%TEMP%\nsp8.tmp\ExistFiles.dll
%PROGRAM_FILES%\SmartBoan\SmartBoan.exe
%TEMP%\nse7.tmp

Удаляет следующие файлы:

%TEMP%\nsx5.tmp\DLLWebCount.dll
%TEMP%\nsx5.tmp\inetc.dll
%TEMP%\nsp8.tmp\SelfDelete.dll
%APPDATA%\winyi\withmoa_hidden_20101223.exe
%TEMP%\nsx5.tmp\System.dll
%APPDATA%\winyi\SmartBoan_letss.exe
%TEMP%\nsx5.tmp\processes_second.dll
%TEMP%\nsx5.tmp\SelfDelete.dll
%TEMP%\nsisos.dll
%TEMP%\nsf9.tmp\SelfDelete.dll
%TEMP%\nsg2.tmp\SelfDelete.dll
%TEMP%\nsg2.tmp\UAC.dll
%TEMP%\nsp8.tmp\DLLWebCount.dll
%TEMP%\nsp8.tmp\ExistFiles.dll
%APPDATA%\winyi\SinkInstall_html.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\count[1].php

Сетевая активность:

Подключается к:

'www.wi##moa.com':80
'www.sm###boan.com':80
'up####.smartboan.com':80
'do##.#martboan.com':80
'wi#####le.infotab.co.kr':80
'www.to###tab.co.kr':80
'fi##.#nfotab.co.kr':80
'en##ew.com':80

TCP:

Запросы HTTP GET:

up####.smartboan.com/partner/partner_info.ini
do##.#martboan.com/app/letss_silent.exe
www.wi##moa.com/count/insert.php?pi################
www.sm###boan.comhttp://www.smartboan.com/app/licensechk.php?sn###########################
up####.smartboan.com/version.ini
up####.smartboan.com/update_data.ini
wi#####le.infotab.co.kr/dst/WinDV_WD03.exe
www.to###tab.co.kr/log/install.php?ma############################
www.to###tab.co.kr/ver/version4
www.sm###boan.com/app/count.php?ki####################
fi##.#nfotab.co.kr/dst/InfoTab_IF96.exe
en##ew.com/nzell_app/reward.chk