Trojan.DownLoader11.40918

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Создает и запускает на исполнение:

'%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
'%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=2824
'<SYSTEM32>\reg.exe' /pid=3636
'<SYSTEM32>\cscript.exe' /pid=4044
'<SYSTEM32>\reg.exe' /pid=2704
'<SYSTEM32>\reg.exe' /pid=2632
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\SgEogsYk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /c ""%TEMP%\sGokoMcQ.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\wMEckAMw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3592
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\hCAosUEE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3764
'<SYSTEM32>\reg.exe' /pid=3832
'<SYSTEM32>\reg.exe' /pid=3932
'<SYSTEM32>\reg.exe' /pid=3536
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\JQAMswIY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\oEQQsIoo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\iQAsAIAk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\rAEMosEE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MAAwAkUg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\VywYQIkw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\BQAAYwYU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=876
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\eAwIYUEw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=2540
'<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dEgsgkkw.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\sAIUcUgc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\CSckkwwY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\OGMsgEIE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\GwcUgwIs.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\UEkgMwgY.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\ugowoAow.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\cssIcYIo.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\FuIsAkIg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\hkkIsIUU.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\NAkMUosg.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\WAgQQQkA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
'<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\KmMQYYEc.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\rcEswckM.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\MMsAwEUA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\xiYQMAUA.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=3268
'<SYSTEM32>\reg.exe' %TEMP%\file.vbs
'<SYSTEM32>\reg.exe' /pid=3188
'<SYSTEM32>\reg.exe' /pid=3176
'<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cscript.exe' /pid=3232
'<SYSTEM32>\reg.exe' /pid=2516
'<SYSTEM32>\reg.exe' /pid=1152
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dgQAAwwE.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\viccoEgk.bat" "<Полный путь к вирусу>""
'<SYSTEM32>\reg.exe' /pid=1728
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\cscript.exe' /c "<Текущая директория>\<Имя вируса>"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\dygEkgoc.bat" "<Полный путь к вирусу>""

Внедряет код в

следующие системные процессы:

<SYSTEM32>\cmd.exe
<SYSTEM32>\cscript.exe
<SYSTEM32>\reg.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\dEgsgkkw.bat
<Текущая директория>\QkYU.exe
<Текущая директория>\DsQq.ico
C:\RCXF.tmp
%TEMP%\AsocksIY.bat
<Текущая директория>\YcUc.exe
<Текущая директория>\hAEu.ico
<Текущая директория>\vQgS.ico
C:\RCXE.tmp
C:\RCX11.tmp
%TEMP%\xOsEYYsY.bat
<Текущая директория>\BwwE.exe
<Текущая директория>\nkcE.ico
<Текущая директория>\tMgC.exe
C:\RCX10.tmp
<Текущая директория>\zoIM.exe
%TEMP%\BQAAYwYU.bat
<Текущая директория>\QcIE.ico
C:\RCXD.tmp
<Текущая директория>\Hskk.ico
%TEMP%\akogkEYU.bat
C:\RCXB.tmp
<Текущая директория>\aoMS.exe
C:\RCXA.tmp
<Текущая директория>\ZkgE.ico
%TEMP%\YMcYYQIk.bat
<Текущая директория>\GMwK.exe
%TEMP%\eAwIYUEw.bat
<Текущая директория>\YIcw.ico
%TEMP%\sAIUcUgc.bat
%TEMP%\iSoUIYQM.bat
<Текущая директория>\sgAi.exe
C:\RCXC.tmp
<Текущая директория>\awkk.ico
%TEMP%\OaEYIUsM.bat
%TEMP%\CSckkwwY.bat
<Текущая директория>\YIYK.exe
%TEMP%\VywYQIkw.bat
C:\RCX18.tmp
<Текущая директория>\uowe.ico
%TEMP%\socUgkkQ.bat
<Текущая директория>\ugoo.exe
<Текущая директория>\hcIA.exe
<Текущая директория>\BccK.ico
<Текущая директория>\sMky.ico
C:\RCX17.tmp
%TEMP%\bqEowEgc.bat
<Текущая директория>\kUUO.ico
C:\RCX1A.tmp
<Текущая директория>\OQwu.exe
%TEMP%\rAEMosEE.bat
C:\RCX19.tmp
<Текущая директория>\KUIG.exe
%TEMP%\YGgMEEwE.bat
%TEMP%\MAAwAkUg.bat
C:\RCX16.tmp
<Текущая директория>\egkU.ico
%TEMP%\eqgYMgoM.bat
C:\RCX14.tmp
<Текущая директория>\aEUk.exe
%TEMP%\iQAsAIAk.bat
<Текущая директория>\wAko.ico
C:\RCX12.tmp
C:\RCX13.tmp
<Текущая директория>\JEQe.exe
<Текущая директория>\QwYq.ico
%TEMP%\JQAMswIY.bat
%TEMP%\hyMIsYsA.bat
<Текущая директория>\pMYM.exe
C:\RCX15.tmp
<Текущая директория>\ewQs.ico
%TEMP%\TyIcQEQU.bat
%TEMP%\oEQQsIoo.bat
<Текущая директория>\pEIU.exe
%TEMP%\FuIsAkIg.bat
%TEMP%\YAccYows.bat
%TEMP%\HIgQwAYg.bat
%TEMP%\viccoEgk.bat
%TEMP%\bSgQAUYc.bat
%TEMP%\zAQgYsAc.bat
%TEMP%\yuQIYwMM.bat
%TEMP%\hkkIsIUU.bat
%TEMP%\NAkMUosg.bat
%TEMP%\MyYcEcEw.bat
%TEMP%\xiYQMAUA.bat
<Текущая директория>\poQU.exe
<Текущая директория>\Uoca.ico
%TEMP%\FIwYYsEc.bat
%TEMP%\dgQAAwwE.bat
%TEMP%\pCcQcYcU.bat
%TEMP%\CaUcosUs.bat
%TEMP%\dygEkgoc.bat
%TEMP%\cssIcYIo.bat
%TEMP%\MMsAwEUA.bat
%TEMP%\file.vbs
%TEMP%\rcEswckM.bat
%TEMP%\NEIwkokA.bat
%TEMP%\UGMUMYQY.bat
%TEMP%\MqEscgsM.bat
%TEMP%\KmMQYYEc.bat
<Текущая директория>\<Имя вируса>
%TEMP%\owIUswsk.bat
%TEMP%\UEkgMwgY.bat
%TEMP%\vMsYIUMY.bat
%TEMP%\GwcUgwIs.bat
%TEMP%\vsEgQcEc.bat
%TEMP%\WAgQQQkA.bat
%TEMP%\PcYAYQwQ.bat
%TEMP%\ugowoAow.bat
%TEMP%\gKwQsAcg.bat
<Текущая директория>\bcEu.ico
%TEMP%\CygIYAkM.bat
C:\RCX7.tmp
<Текущая директория>\WMEc.exe
%TEMP%\wMEckAMw.bat
<Текущая директория>\gUAE.ico
C:\RCX5.tmp
C:\RCX6.tmp
<Текущая директория>\EEAC.exe
<Текущая директория>\iAYC.exe
<Текущая директория>\Swcg.ico
C:\RCX9.tmp
%TEMP%\SgEogsYk.bat
%TEMP%\sGokoMcQ.bat
<Текущая директория>\yEAU.exe
<Текущая директория>\zMoe.ico
C:\RCX8.tmp
%TEMP%\yIAkIIYQ.bat
<Текущая директория>\jAEW.exe
<Текущая директория>\YYEo.ico
%TEMP%\uIQoAsYM.bat
%TEMP%\OGMsgEIE.bat
<Текущая директория>\pswW.exe
C:\RCX2.tmp
C:\RCX1.tmp
%TEMP%\rykcAMQA.bat
<Текущая директория>\IwAW.exe
<Текущая директория>\looE.ico
C:\RCX4.tmp
%TEMP%\oMgkMgkg.bat
<Текущая директория>\IcQS.ico
%TEMP%\AqIQwsMU.bat
<Текущая директория>\nkwe.exe
%TEMP%\hCAosUEE.bat
C:\RCX3.tmp
<Текущая директория>\lUom.ico
%TEMP%\YOIgIAAw.bat

Присваивает атрибут 'скрытый' для следующих файлов:

%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe

Удаляет следующие файлы:

<Текущая директория>\QkYU.exe
<Текущая директория>\vQgS.ico
<Текущая директория>\hAEu.ico
%TEMP%\iSoUIYQM.bat
<Текущая директория>\YcUc.exe
<Текущая директория>\tMgC.exe
<Текущая директория>\QcIE.ico
<Текущая директория>\DsQq.ico
%TEMP%\AsocksIY.bat
<Текущая директория>\zoIM.exe
<Текущая директория>\YIcw.ico
%TEMP%\sGokoMcQ.bat
<Текущая директория>\aoMS.exe
%TEMP%\akogkEYU.bat
<Текущая директория>\GMwK.exe
<Текущая директория>\ZkgE.ico
<Текущая директория>\awkk.ico
<Текущая директория>\sgAi.exe
<Текущая директория>\YIYK.exe
<Текущая директория>\Hskk.ico
%TEMP%\OaEYIUsM.bat
%TEMP%\xOsEYYsY.bat
<Текущая директория>\BccK.ico
<Текущая директория>\ugoo.exe
<Текущая директория>\hcIA.exe
<Текущая директория>\QwYq.ico
%TEMP%\hyMIsYsA.bat
<Текущая директория>\uowe.ico
%TEMP%\YGgMEEwE.bat
%TEMP%\socUgkkQ.bat
<Текущая директория>\sMky.ico
<Текущая директория>\KUIG.exe
<Текущая директория>\pMYM.exe
<Текущая директория>\wAko.ico
%TEMP%\eqgYMgoM.bat
<Текущая директория>\JEQe.exe
<Текущая директория>\BwwE.exe
<Текущая директория>\nkcE.ico
<Текущая директория>\pEIU.exe
<Текущая директория>\ewQs.ico
%TEMP%\TyIcQEQU.bat
<Текущая директория>\aEUk.exe
<Текущая директория>\egkU.ico
%TEMP%\CaUcosUs.bat
%TEMP%\FIwYYsEc.bat
%TEMP%\pCcQcYcU.bat
%TEMP%\YAccYows.bat
%TEMP%\HIgQwAYg.bat
<Текущая директория>\IwAW.exe
%TEMP%\uIQoAsYM.bat
<Текущая директория>\Uoca.ico
<Текущая директория>\poQU.exe
%TEMP%\rykcAMQA.bat
%TEMP%\bSgQAUYc.bat
%TEMP%\PcYAYQwQ.bat
%TEMP%\gKwQsAcg.bat
%TEMP%\NEIwkokA.bat
%TEMP%\MqEscgsM.bat
%TEMP%\UGMUMYQY.bat
%TEMP%\yuQIYwMM.bat
%TEMP%\zAQgYsAc.bat
%TEMP%\vMsYIUMY.bat
%TEMP%\vsEgQcEc.bat
%TEMP%\owIUswsk.bat
<Текущая директория>\looE.ico
<Текущая директория>\bcEu.ico
%TEMP%\yIAkIIYQ.bat
<Текущая директория>\WMEc.exe
%TEMP%\CygIYAkM.bat
%TEMP%\oMgkMgkg.bat
<Текущая директория>\iAYC.exe
<Текущая директория>\Swcg.ico
%TEMP%\YMcYYQIk.bat
<Текущая директория>\yEAU.exe
<Текущая директория>\zMoe.ico
<Текущая директория>\gUAE.ico
<Текущая директория>\YYEo.ico
<Текущая директория>\nkwe.exe
%TEMP%\YOIgIAAw.bat
%TEMP%\MyYcEcEw.bat
<Текущая директория>\pswW.exe
<Текущая директория>\IcQS.ico
<Текущая директория>\EEAC.exe
<Текущая директория>\jAEW.exe
<Текущая директория>\lUom.ico
%TEMP%\AqIQwsMU.bat

Перемещает следующие файлы:

C:\RCX11.tmp в <Текущая директория>\tMgC.exe
C:\RCX12.tmp в <Текущая директория>\BwwE.exe
C:\RCX13.tmp в <Текущая директория>\JEQe.exe
C:\RCXE.tmp в <Текущая директория>\YcUc.exe
C:\RCXF.tmp в <Текущая директория>\QkYU.exe
C:\RCX10.tmp в <Текущая директория>\zoIM.exe
C:\RCX17.tmp в <Текущая директория>\hcIA.exe
C:\RCX18.tmp в <Текущая директория>\ugoo.exe
C:\RCX19.tmp в <Текущая директория>\KUIG.exe
C:\RCX14.tmp в <Текущая директория>\aEUk.exe
C:\RCX15.tmp в <Текущая директория>\pEIU.exe
C:\RCX16.tmp в <Текущая директория>\pMYM.exe
C:\RCXD.tmp в <Текущая директория>\sgAi.exe
C:\RCX4.tmp в <Текущая директория>\nkwe.exe
C:\RCX5.tmp в <Текущая директория>\jAEW.exe
C:\RCX6.tmp в <Текущая директория>\EEAC.exe
C:\RCX1.tmp в <Текущая директория>\poQU.exe
C:\RCX2.tmp в <Текущая директория>\IwAW.exe
C:\RCX3.tmp в <Текущая директория>\pswW.exe
C:\RCXA.tmp в <Текущая директория>\GMwK.exe
C:\RCXB.tmp в <Текущая директория>\aoMS.exe
C:\RCXC.tmp в <Текущая директория>\YIYK.exe
C:\RCX7.tmp в <Текущая директория>\WMEc.exe
C:\RCX8.tmp в <Текущая директория>\yEAU.exe
C:\RCX9.tmp в <Текущая директория>\iAYC.exe

Самоудаляется.

Сетевая активность:

Подключается к:

'19#.#86.45.170':9999
'74.##5.232.51':80
'20#.#7.164.69':9999
'20#.#19.204.12':9999

TCP:

Запросы HTTP GET:

74.##5.232.51/

UDP:

DNS ASK google.com

Другое:

Ищет следующие окна:

ClassName: '' WindowName: 'pUccUkoM.exe'
ClassName: '' WindowName: 'aeEkEEcE.exe'
ClassName: 'Indicator' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней