Trojan.DownLoader13.16943

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WWAN Information Input Human Parental' = '<SYSTEM32>\cjgpwpblpqy.exe'

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\Client Debugger Block Volume Virtual Registrar] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

'<SYSTEM32>\yjabmtnpx.exe' "<SYSTEM32>\cjgpwpblpqy.exe"
'%WINDIR%\Temp\a69antz33ytpyyfi.exe' -r 48655 tcp
'%TEMP%\a69antz316zpyyfizwqgpmb.exe'
'<SYSTEM32>\cjgpwpblpqy.exe'

Modifies file system :

Creates the following files:

<SYSTEM32>\atbxzrzhpvzexdv\run
<SYSTEM32>\atbxzrzhpvzexdv\rng
%WINDIR%\Temp\a69antz33ytpyyfi.exe
<SYSTEM32>\atbxzrzhpvzexdv\cfg
<SYSTEM32>\yjabmtnpx.exe
%TEMP%\a69antz316zpyyfizwqgpmb.exe
<SYSTEM32>\atbxzrzhpvzexdv\tst
<SYSTEM32>\cjgpwpblpqy.exe
<SYSTEM32>\atbxzrzhpvzexdv\etc

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\yjabmtnpx.exe
<SYSTEM32>\cjgpwpblpqy.exe

Deletes the following files:

%WINDIR%\Temp\a69antz33ytpyyfi.exe
%TEMP%\a69antz316zpyyfizwqgpmb.exe
<DRIVERS>\etc\hosts

Substitutes the HOSTS file.

Network activity:

Connects to:

'wr###dont.net':80
'ma###reat.net':80
'ma###ont.net':80
'so###fruit.net':80
'ar###fruit.net':80
'wr###great.net':80
'wr###aunt.net':80
'ro###ont.net':80
'ma###unt.net':80
'ma###cene.net':80
'wr###scene.net':80
'ar###rise.net':80
'up###ise.net':80
'wh###fruit.net':80
'wh###rise.net':80
'wh###noise.net':80
'up###oise.net':80
'up###ruit.net':80
'ar###noise.net':80
'so###rise.net':80
'so###noise.net':80
'so###pull.net':80
'ar###pull.net':80
'de###ont.net':80
'ta###hand.net':80
'up###ail.net':80
'wa###since.net':80
'of###aunt.net':80
'sp###ont.net':80
'wa###easy.net':80
'sa###econd.net':80
'so###blood.net':80
'pi###rave.net':80
'ro###tock.net':80
'ab###ead.net':80
'ma###han.net':80
'de###cene.net':80
'ro###unt.net':80
'ro###cene.net':80
'ro###reat.net':80
'de###reat.net':80
'de###unt.net':80
'pi###ake.net':80
'dr###wide.net':80
'wh###ifth.net':80
'wi###ont.net':80
'jo###ont.net':80

TCP:

HTTP GET requests:

http://wr###dont.net/index.php?me################################################
http://ma###reat.net/index.php?me################################################
http://ma###ont.net/index.php?me################################################
http://so###fruit.net/index.php?me################################################
http://ar###fruit.net/index.php?me################################################
http://wr###great.net/index.php?me################################################
http://wr###aunt.net/index.php?me################################################
http://ro###ont.net/index.php?me################################################
http://ma###unt.net/index.php?me################################################
http://ma###cene.net/index.php?me################################################
http://wr###scene.net/index.php?me################################################
http://ar###rise.net/index.php?me################################################
http://up###ise.net/index.php?me################################################
http://wh###fruit.net/index.php?me################################################
http://wh###rise.net/index.php?me################################################
http://wh###noise.net/index.php?me################################################
http://up###oise.net/index.php?me################################################
http://up###ruit.net/index.php?me################################################
http://ar###noise.net/index.php?me################################################
http://so###rise.net/index.php?me################################################
http://so###noise.net/index.php?me################################################
http://so###pull.net/index.php?me################################################
http://ar###pull.net/index.php?me################################################
http://de###ont.net/index.php?me################################################
http://ta###hand.net/index.php?me################################################
http://up###ail.net/index.php?me################################################
http://wa###since.net/index.php?me################################################
http://of###aunt.net/index.php?me################################################
http://sp###ont.net/index.php?me################################################
http://wa###easy.net/index.php?me################################################
http://sa###econd.net/index.php?me################################################
http://so###blood.net/index.php?me################################################
http://pi###rave.net/index.php?me################################################
http://ro###tock.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://ma###han.net/index.php?me################################################
http://de###cene.net/index.php?me################################################
http://ro###unt.net/index.php?me################################################
http://ro###cene.net/index.php?me################################################
http://ro###reat.net/index.php?me################################################
http://de###reat.net/index.php?me################################################
http://de###unt.net/index.php?me################################################
http://pi###ake.net/index.php?me################################################
http://dr###wide.net/index.php?me################################################
http://wh###ifth.net/index.php?me################################################
http://wi###ont.net/index.php?me################################################
http://jo###ont.net/index.php?me################################################

UDP:

DNS ASK ma###ont.net
DNS ASK wr###dont.net
DNS ASK ma###reat.net
DNS ASK ar###rise.net
DNS ASK so###fruit.net
DNS ASK ar###fruit.net
DNS ASK ma###unt.net
DNS ASK wr###aunt.net
DNS ASK ro###ont.net
DNS ASK wr###great.net
DNS ASK ma###cene.net
DNS ASK wr###scene.net
DNS ASK wh###rise.net
DNS ASK up###ise.net
DNS ASK wh###fruit.net
DNS ASK up###ull.net
DNS ASK wh###noise.net
DNS ASK up###oise.net
DNS ASK so###noise.net
DNS ASK ar###noise.net
DNS ASK so###rise.net
DNS ASK up###ruit.net
DNS ASK so###pull.net
DNS ASK ar###pull.net
DNS ASK de###ont.net
DNS ASK ta###hand.net
DNS ASK up###ail.net
DNS ASK wa###since.net
DNS ASK of###aunt.net
DNS ASK sp###ont.net
DNS ASK wa###easy.net
DNS ASK sa###econd.net
DNS ASK so###blood.net
DNS ASK pi###rave.net
DNS ASK ro###tock.net
DNS ASK ab###ead.net
DNS ASK ma###han.net
DNS ASK de###cene.net
DNS ASK ro###unt.net
DNS ASK ro###cene.net
DNS ASK ro###reat.net
DNS ASK de###reat.net
DNS ASK de###unt.net
DNS ASK pi###ake.net
DNS ASK dr###wide.net
DNS ASK wh###ifth.net
DNS ASK wi###ont.net
DNS ASK jo###ont.net
'23#.#55.255.250':1900

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical Information

Curing recommendations

Free trial