Trojan.DownLoader8.38331

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Desktop' = '<SYSTEM32>\rundll32.exe "%PROGRAM_FILES%\DeskAdTop\Run.dll" ,Rundll'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\ssst] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\PartMsg] 'Start' = '00000000'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\Baidu\ad_2052.exe
%TEMP%\uuseeSetup27.exe
%PROGRAM_FILES%\DeskAdTop\Mrup.exe
%TEMP%\AIS_2052_0.EXE
%TEMP%\tdsetup.exe
%TEMP%\ad_2052.exe
%TEMP%\51mapSetup54.exe
%TEMP%\Setup(17).exe
%TEMP%\dodolook052.exe

Запускает на исполнение:

<SYSTEM32>\rundll32.exe
<SYSTEM32>\rundll32.exe "%PROGRAM_FILES%\DeskAdTop\Run.dll" ,Rundll
<SYSTEM32>\regsvr32.exe "%PROGRAM_FILES%\DeskAdTop\deskipn.dll" -s

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nstD.tmp
%PROGRAM_FILES%\DeskAdTop\Run.dll.zgx.tmp
%PROGRAM_FILES%\DeskAdTop\Mrup.exe
%CommonProgramFiles%\insshell6.exe
%PROGRAM_FILES%\DeskAdTop\sinfo.ini.tmp
%PROGRAM_FILES%\DeskAdTop\Run.dll.zgx
%TEMP%\nsmB.tmp\System.dll
%PROGRAM_FILES%\DeskAdTop\fshook.dll.zgx
%PROGRAM_FILES%\DeskAdTop\fshook.dll.zgx.tmp
%PROGRAM_FILES%\DeskAdTop\Mrup.exe.tmp
%PROGRAM_FILES%\DeskAdTop\IP.dat
%PROGRAM_FILES%\DeskAdTop\IP.dat.tmp
%PROGRAM_FILES%\DeskAdTop\sinfo.ini
%PROGRAM_FILES%\nnno\tttu.dll
%PROGRAM_FILES%\nnno\fffg.dll
%PROGRAM_FILES%\nnno\cccd.dll
%PROGRAM_FILES%\nnno\rrrs.ini
%PROGRAM_FILES%\nnno\qqqrlex.ini
%PROGRAM_FILES%\nnno\ddde.lex
%PROGRAM_FILES%\nnno\mmmn.ini
%TEMP%\insshell.exe
%PROGRAM_FILES%\DeskAdTop\_uninstall
%PROGRAM_FILES%\nnno\aaab.dll
%PROGRAM_FILES%\nnno\iiij.ini
%PROGRAM_FILES%\nnno\xxxy.dll
%PROGRAM_FILES%\DeskAdTop\DeskUn.exe
%TEMP%\tdsetup.exe
%TEMP%\nsx4.tmp\modern-wizard.bmp
%TEMP%\nsx4.tmp\ioSpecial.ini
%TEMP%\Baidu\ad_2052.exe
%TEMP%\uuseeSetup27.exe
%TEMP%\nsz6.tmp
%TEMP%\ad_2052.exe
%TEMP%\51mapSetup54.exe
%TEMP%\nsb2.tmp\System.dll
%TEMP%\Setup(17).exe
%TEMP%\nsx4.tmp\System.dll
%TEMP%\dodolook052.exe
%TEMP%\nsx4.tmp\InstallOptions.dll
%PROGRAM_FILES%\DeskAdTop\allverx.dat
%PROGRAM_FILES%\DeskAdTop\allverx.dat.tmp
%PROGRAM_FILES%\DeskAdTop\setup.tmp
%PROGRAM_FILES%\DeskAdTop\DeskUn.exe.tmp
%PROGRAM_FILES%\DeskAdTop\deskipn.dll.zgx
%PROGRAM_FILES%\DeskAdTop\deskipn.dll.zgx.tmp
%ALLUSERSPROFILE%\Application Data\Microsoft\Media Player\sqmnoopt01.sqm.ini
<DRIVERS>\PartMsg.sys
%TEMP%\nss8.tmp\System.dll
%TEMP%\nse9.tmp\NSISdl.dll
%ALLUSERSPROFILE%\Application Data\Microsoft\Media Player\sqmnoopt02.sqm
%ALLUSERSPROFILE%\Application Data\Microsoft\Media Player\sqmnoopt01.sqm

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\AIS_2052_0.EXE

Удаляет следующие файлы:

%PROGRAM_FILES%\DeskAdTop\sinfo.ini.tmp
%PROGRAM_FILES%\DeskAdTop\setup.tmp
%PROGRAM_FILES%\DeskAdTop\Mrup.exe.tmp
%PROGRAM_FILES%\DeskAdTop\Run.dll.zgx.tmp
%CommonProgramFiles%\insshell6.exe
%TEMP%\nse9.tmp\NSISdl.dll
%TEMP%\Setup(17).exe
C:\~deE.tmp
%PROGRAM_FILES%\DeskAdTop\IP.dat.tmp
%TEMP%\nss8.tmp\System.dll
%PROGRAM_FILES%\DeskAdTop\allverx.dat.tmp
%TEMP%\nsb2.tmp\System.dll
%ALLUSERSPROFILE%\Application Data\Microsoft\Media Player\sqmnoopt01.sqm.ini
%PROGRAM_FILES%\DeskAdTop\fshook.dll.zgx.tmp
%TEMP%\nsmB.tmp\System.dll
%PROGRAM_FILES%\DeskAdTop\deskipn.dll.zgx.tmp
%PROGRAM_FILES%\DeskAdTop\DeskUn.exe.tmp

Перемещает следующие файлы:

%TEMP%\insshell.exe в %TEMP%\AIS_2052_0.EXE
%TEMP%\AIS_2052_0.EXE в C:\~deE.tmp
%PROGRAM_FILES%\DeskAdTop\Run.dll.zgx в %PROGRAM_FILES%\DeskAdTop\Run.dll
%PROGRAM_FILES%\DeskAdTop\deskipn.dll.zgx в %PROGRAM_FILES%\DeskAdTop\deskipn.dll
%PROGRAM_FILES%\DeskAdTop\fshook.dll.zgx в %PROGRAM_FILES%\DeskAdTop\fshook.dll

Сетевая активность:

Подключается к: