Trojan.DownLoader5.53914

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'hlb' = '%WINDIR%\full_story.doc.exe'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "%WINDIR%\full_story.doc.exe"'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aunswn' = '<Полный путь к вирусу>'
[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "<Полный путь к вирусу>"'

Создает или изменяет следующие файлы:

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

блокирует запуск следующих системных утилит:

Создает и запускает на исполнение:

Запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

C:\Get_Money_Surf_Toolbar.exe
C:\file.dat
<Текущая директория>\db.bat
%WINDIR%\m.vbs
<Текущая директория>\full_story.doc.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\email[1].php
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\email[2].php
%WINDIR%\db.bat
C:\autorun.inf
%WINDIR%\autorun.inf
<Текущая директория>\autorun.inf
<Текущая директория>\sh.php
<Текущая директория>\bak
%WINDIR%\bak
%WINDIR%\Temp\scs2.tmp
%WINDIR%\sh.php
%WINDIR%\Temp\scs1.tmp
%WINDIR%\schost.exe
%WINDIR%\full_story.doc.exe

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

www.ip###nation.org/includes/email.php?em##############################################################################################
www.sc######ndtechnology.go.ke/components/com_poll/email.php?em##############################################################################################

UDP: