Trojan.DownLoader8.14335

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Health Credential Audio Config Portable' = '<SYSTEM32>\bzgyfcbsoq.exe'

Creates or modifies the following files:

%HOMEPATH%\Start Menu\Programs\Startup\bzgyfcbsoq.exe

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\Resource Network Telephony Upgrade] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

<SYSTEM32>\czwzyoju.exe "<SYSTEM32>\bzgyfcbsoq.exe"
%WINDIR%\Temp\wul3udo4h94jd.exe -r 39387 tcp
%TEMP%\wul3udo4ec3jtpbzis.exe
<SYSTEM32>\bzgyfcbsoq.exe

Modifies file system :

Creates the following files:

<SYSTEM32>\klmysobvtszcesa\run
<SYSTEM32>\klmysobvtszcesa\rng
<SYSTEM32>\klmysobvtszcesa\cfg
<SYSTEM32>\klmysobvtszcesa\por
%WINDIR%\Temp\wul3udo4h94jd.exe
%TEMP%\wul3udo4ec3jtpbzis.exe
<SYSTEM32>\klmysobvtszcesa\tst
<SYSTEM32>\klmysobvtszcesa\etc
<SYSTEM32>\czwzyoju.exe
<SYSTEM32>\bzgyfcbsoq.exe

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\czwzyoju.exe
<SYSTEM32>\bzgyfcbsoq.exe

Deletes the following files:

%WINDIR%\Temp\wul3udo4h94jd.exe
%TEMP%\wul3udo4ec3jtpbzis.exe
<DRIVERS>\etc\hosts

Substitutes the HOSTS file.

Network activity:

Connects to:

'up###lack.net':80
'wh###black.net':80
'wh###grown.net':80
'wh###plain.net':80
'up###rown.net':80
'sp###tep.net':80
'sp###rown.net':80
'sa###rown.net':80
'sa###lain.net':80
'sa###tep.net':80
'sp###lain.net':80
'so###plain.net':80
'ar###grown.net':80
'ar###plain.net':80
'ar###step.net':80
'so###step.net':80
'so###grown.net':80
'wh###step.net':80
'up###lain.net':80
'up###tep.net':80
'ar###black.net':80
'so###black.net':80
'sp###lack.net':80
'gr###grown.net':80
'eq###black.net':80
'eq###grown.net':80
'eq###plain.net':80
'gr###plain.net':80
'gr###black.net':80
'vi###plain.net':80
'sp###grown.net':80
'sp###plain.net':80
'sp###step.net':80
'vi###step.net':80
'gl###lain.net':80
'ta###plain.net':80
'ta###step.net':80
'sa###lack.net':80
'gl###tep.net':80
'gl###rown.net':80
'eq###step.net':80
'gr###step.net':80
'ta###black.net':80
'ta###grown.net':80
'gl###lack.net':80
'se####beragain.net':80
'ha###ass.net':80
'ha###gain.net':80
'fr###stand.net':80
'of###stand.net':80
'se####berpass.net':80
'se####berstand.net':80
'jo###gain.net':80
'ha###tand.net':80
'ha###ugar.net':80
'se####bersugar.net':80
'go#####everytime.com':80
'sp###stand.net':80
'ja###uter.com':80
'do####club-grup.com':80
'el#####arimagine.com':80
'fr###again.net':80
'fr###sugar.net':80
'of###sugar.net':80
'of###pass.net':80
'of###again.net':80
'fr###pass.net':80
'wi###gain.net':80
'wr###again.net':80
'ma###gain.net':80
'ro###tand.net':80
'ro###ugar.net':80
'de###tand.net':80
'wr###pass.net':80
'wr###stand.net':80
'ma###tand.net':80
'ma###ugar.net':80
'ma###ass.net':80
'wr###sugar.net':80
'wi###ugar.net':80
'jo###tand.net':80
'jo###ugar.net':80
'jo###ass.net':80
'wi###ass.net':80
'wi###tand.net':80
'ro###ass.net':80
'de###ugar.net':80
'de###ass.net':80
'de###gain.net':80
'ro###gain.net':80

TCP:

HTTP GET requests:

up###lack.net/forum/search.php?me#########################################
wh###black.net/forum/search.php?me#########################################
wh###grown.net/forum/search.php?me#########################################
wh###plain.net/forum/search.php?me#########################################
up###rown.net/forum/search.php?me#########################################
sp###tep.net/forum/search.php?me#########################################
sp###rown.net/forum/search.php?me#########################################
sa###rown.net/forum/search.php?me#########################################
sa###lain.net/forum/search.php?me#########################################
sa###tep.net/forum/search.php?me#########################################
sp###lain.net/forum/search.php?me#########################################
so###plain.net/forum/search.php?me#########################################
ar###grown.net/forum/search.php?me#########################################
ar###plain.net/forum/search.php?me#########################################
ar###step.net/forum/search.php?me#########################################
so###step.net/forum/search.php?me#########################################
so###grown.net/forum/search.php?me#########################################
wh###step.net/forum/search.php?me#########################################
up###lain.net/forum/search.php?me#########################################
up###tep.net/forum/search.php?me#########################################
ar###black.net/forum/search.php?me#########################################
so###black.net/forum/search.php?me#########################################
sp###lack.net/forum/search.php?me#########################################
gr###grown.net/forum/search.php?me#########################################
eq###black.net/forum/search.php?me#########################################
eq###grown.net/forum/search.php?me#########################################
eq###plain.net/forum/search.php?me#########################################
gr###plain.net/forum/search.php?me#########################################
gr###black.net/forum/search.php?me#########################################
vi###plain.net/forum/search.php?me#########################################
sp###grown.net/forum/search.php?me#########################################
sp###plain.net/forum/search.php?me#########################################
sp###step.net/forum/search.php?me#########################################
vi###step.net/forum/search.php?me#########################################
gl###lain.net/forum/search.php?me#########################################
ta###plain.net/forum/search.php?me#########################################
ta###step.net/forum/search.php?me#########################################
sa###lack.net/forum/search.php?me#########################################
gl###tep.net/forum/search.php?me#########################################
gl###rown.net/forum/search.php?me#########################################
eq###step.net/forum/search.php?me#########################################
gr###step.net/forum/search.php?me#########################################
ta###black.net/forum/search.php?me#########################################
ta###grown.net/forum/search.php?me#########################################
gl###lack.net/forum/search.php?me#########################################
se####beragain.net/forum/search.php?me#########################################
ha###ass.net/forum/search.php?me#########################################
ha###gain.net/forum/search.php?me#########################################
fr###stand.net/forum/search.php?me#########################################
of###stand.net/forum/search.php?me#########################################
se####berpass.net/forum/search.php?me#########################################
se####berstand.net/forum/search.php?me#########################################
jo###gain.net/forum/search.php?me#########################################
ha###tand.net/forum/search.php?me#########################################
ha###ugar.net/forum/search.php?me#########################################
se####bersugar.net/forum/search.php?me#########################################
go#####everytime.com/forum/search.php?me#########################################
sp###stand.net/forum/search.php?me#########################################
ja###uter.com/forum/search.php?me#########################################
do####club-grup.com/forum/search.php?me#########################################
el#####arimagine.com/forum/search.php?me#########################################
fr###again.net/forum/search.php?me#########################################
fr###sugar.net/forum/search.php?me#########################################
of###sugar.net/forum/search.php?me#########################################
of###pass.net/forum/search.php?me#########################################
of###again.net/forum/search.php?me#########################################
fr###pass.net/forum/search.php?me#########################################
wi###gain.net/forum/search.php?me#########################################
wr###again.net/forum/search.php?me#########################################
ma###gain.net/forum/search.php?me#########################################
ro###tand.net/forum/search.php?me#########################################
ro###ugar.net/forum/search.php?me#########################################
de###tand.net/forum/search.php?me#########################################
wr###pass.net/forum/search.php?me#########################################
wr###stand.net/forum/search.php?me#########################################
ma###tand.net/forum/search.php?me#########################################
ma###ugar.net/forum/search.php?me#########################################
ma###ass.net/forum/search.php?me#########################################
wr###sugar.net/forum/search.php?me#########################################
wi###ugar.net/forum/search.php?me#########################################
jo###tand.net/forum/search.php?me#########################################
jo###ugar.net/forum/search.php?me#########################################
jo###ass.net/forum/search.php?me#########################################
wi###ass.net/forum/search.php?me#########################################
wi###tand.net/forum/search.php?me#########################################
ro###ass.net/forum/search.php?me#########################################
de###ugar.net/forum/search.php?me#########################################
de###ass.net/forum/search.php?me#########################################
de###gain.net/forum/search.php?me#########################################
ro###gain.net/forum/search.php?me#########################################

UDP:

DNS ASK up###lack.net
DNS ASK wh###black.net
DNS ASK wh###grown.net
DNS ASK wh###plain.net
DNS ASK up###rown.net
DNS ASK sp###tep.net
DNS ASK sp###rown.net
DNS ASK sa###rown.net
DNS ASK sa###lain.net
DNS ASK sa###tep.net
DNS ASK sp###lain.net
DNS ASK so###plain.net
DNS ASK ar###grown.net
DNS ASK ar###plain.net
DNS ASK ar###step.net
DNS ASK so###step.net
DNS ASK so###grown.net
DNS ASK wh###step.net
DNS ASK up###lain.net
DNS ASK up###tep.net
DNS ASK ar###black.net
DNS ASK so###black.net
DNS ASK sp###lack.net
DNS ASK gr###grown.net
DNS ASK eq###black.net
DNS ASK eq###grown.net
DNS ASK eq###plain.net
DNS ASK gr###plain.net
DNS ASK gr###black.net
DNS ASK vi###plain.net
DNS ASK sp###grown.net
DNS ASK sp###plain.net
DNS ASK sp###step.net
DNS ASK vi###step.net
DNS ASK gl###lain.net
DNS ASK ta###plain.net
DNS ASK ta###step.net
DNS ASK sa###lack.net
DNS ASK gl###tep.net
DNS ASK gl###rown.net
DNS ASK eq###step.net
DNS ASK gr###step.net
DNS ASK ta###black.net
DNS ASK ta###grown.net
DNS ASK gl###lack.net
DNS ASK ma###tand.net
DNS ASK se####beragain.net
DNS ASK ha###ass.net
DNS ASK ha###gain.net
DNS ASK fr###stand.net
DNS ASK of###stand.net
DNS ASK se####berpass.net
DNS ASK se####berstand.net
DNS ASK jo###gain.net
DNS ASK ha###tand.net
DNS ASK ha###ugar.net
DNS ASK se####bersugar.net
DNS ASK go#####everytime.com
DNS ASK sp###stand.net
DNS ASK ja###uter.com
DNS ASK do####club-grup.com
DNS ASK el#####arimagine.com
DNS ASK fr###again.net
DNS ASK fr###sugar.net
DNS ASK of###sugar.net
DNS ASK of###pass.net
DNS ASK of###again.net
DNS ASK fr###pass.net
DNS ASK ro###tand.net
DNS ASK wr###again.net
DNS ASK de###tand.net
DNS ASK de###ugar.net
DNS ASK ro###ugar.net
DNS ASK ma###gain.net
DNS ASK ma###ugar.net
DNS ASK wr###stand.net
DNS ASK wr###sugar.net
DNS ASK wr###pass.net
DNS ASK ma###ass.net
DNS ASK jo###ugar.net
DNS ASK wi###ugar.net
DNS ASK wi###ass.net
DNS ASK wi###gain.net
DNS ASK jo###ass.net
DNS ASK jo###tand.net
DNS ASK de###ass.net
DNS ASK ro###ass.net
DNS ASK ro###gain.net
DNS ASK wi###tand.net
DNS ASK de###gain.net
'23#.#55.255.250':1900

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical Information

Curing recommendations

Free trial