Trojan.DownLoader21.24047

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GuaZhuan' = '"<Полный путь к вирусу>" -autorun '

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\LSinglePro\log.txt
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\00fe3d6211eceae577acdaf72bba148b082ba4fa8c3f3027369b19cfdbb1b61f7d47d562dd1193b2779e0090f69c4c6d1bd7b937d52ed6384f80e21bebb722...
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SPM3F4JV\f2[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\h1[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\f2[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\CFGUpdate[1].5&checksum=&cid=27CF3C1C64694914B35C8E205995CD64&rd=17399
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SPM3F4JV\h5[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\desktop.ini
%APPDATA%\LSinglePro\cfg.ini
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\index.dat
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\CFGUpdate[1].5&checksum=&cid=D42B674D8C21477B98E1143A4BFCAB17&rd=21150
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SPM3F4JV\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SPM3F4JV\desktop.ini
%APPDATA%\LSinglePro\TFExecuter4\cfg.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\h1[1].htm

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SPM3F4JV\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\desktop.ini

Удаляет следующие файлы:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\h1[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\SPM3F4JV\f8[1].htm

Подменяет следующие файлы:

%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\AT6183MH\h3[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\h3[2].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\I9KB8D01\f8[1].htm
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\desktop.ini
%APPDATA%\LSinglePro\Temporary Internet Files\Content.IE5\OF8JCPKD\f8[1].htm

Сетевая активность:

Подключается к:

'ap#.#ap1000.com':8011
'ap#.##uliangbao.cn':80

TCP:

Запросы HTTP GET:

http://ap#.##uliangbao.cn/clt/jobid/00fe3d6211eceae577acdaf72bba148b082ba4fa8c3f3027369b19cfdbb1b61f7d47d562dd1193b2779e0090f69c4c6d1bd7b937d52ed6384f80e21bebb722d8b78647623a320f1038a130776bae8...
http://ap#.##uliangbao.cn/redirect/CFGUpdate?nu################################################################

Запросы HTTP POST: