Trojan-Downloader.Win32.Mazahaka.a

Резюме

• Trojan-Dropper. Скрытно устанавливает в систему другие вредоносные программы

• Trojan. Выполняет действия, характерные для вредоносных программ

• Trojan. Изменяет системные настройки компьютера

• Осуществляет сетевую активность

Технические детали

Имеет размер 246272 байт.

Инсталляция

Создает следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\129984_ (­детектируется антивирусом Касперского как­ Trojan.Win32.Agent.cjde)
• Каталог ОС Windows (обычно, C:\Windows)%Windir%\justkitdl.dll (­детектируется антивирусом Касперского как­ Trojan.Win32.Agent.cjde)
• Каталог ОС Windows (обычно, C:\Windows)%Windir%\Tasks\9 (­детектируется антивирусом Касперского как­ Trojan-Downloader.Win32.Agent.bqpo)
• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\21023.dll (­детектируется антивирусом Касперского как­ Trojan-Downloader.Win32.Agent.cfgg)
• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\justkit.gif

Вредоносная активность

Создает следующие файлы:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\1990 (­детектируется антивирусом Касперского как­ Rootkit.Win32.Agent.kxd)

Следующие файлы запускаются на исполнение:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\1990

Для защиты от антивирусных и других программ, обеспечивающих безопасность компьютера, пытается принудительно завершить их исполнениеВыгружает из памяти следующие процессы антивирусных и других средств защиты:

• ­360Tray­

Внедряет свой код в следующие процессы:

• <­файл исходной программы­>

Изменяет (или удаляет) ключи системного реестра с целью ограничения функциональности ОС Windows:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ] "Hidden" = "0x2"

Описание:
­Включает/выключает отображение скрытых и системных файлов­

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ] "ShowSuperHidden" = "0x0"

С целью препятствия работе антивирусных средств удаляет (или изменяет) следующие ключи системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Thunder5.exe ] "Debugger" = "svchost.exe"

Описание:
­Определяет программу, которая будет использоваться для отладки указанного файла. Может использоваться вредоносными программами для обеспечения своего запуска­

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe ] "Debugger" = "svchost.exe"

Описание:
­Rising AntiVirus­

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe ] "Debugger" = "svchost.exe"

Описание:
­Kaspersky AntiVirus­

Создает соединение со следующими адресами в Интернете:

• ***.12.80.133:20480

Обращается к следующим адресам в Интернете:

• http://***.dllqvod.com/hexie/kk5b.txt

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• ­строка содержит нечитаемые символы­
• uytjkl

Прочие действия

Производит запуск следующих файлов (команд):

• Стандартный каталог установленных программ в ОС Windows (обычно, C:\Program Files)%Program Files%\Internet Explorer\IEXPLORE.EXE http://tongji.maxjust555.cn/newcnzz/5000a.htm?mac=-1878068295&os=windowsXP&ver=20090601&id=-2087974785.6

Устанавливает следующие системные службы (драйвера):

Имя службы:	io
Отображаемое имя службы:	io
Параметры запуска:	Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\1990
Тип запуска:	­по требованию­

Изменяет состояние следующих системных служб:

Имя службы:	io
Отображаемое имя службы:	io
Параметры запуска:	Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\1990

Ищет следующие окна:

Класс:

AfxControlBar42s

Выгружает из памяти следующие процессы:

• C:\KLADStatTemp\35513

Изменяет следующие ключи системного реестра:

[ Ветка системного реестра HKEY_CURRENT_USERHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ] "SuperHidden" = "0x1"

Удаляет следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\1990
• Каталог ОС Windows (обычно, C:\Windows)%Windir%\justkitdl.dll