Trojan.Win32.ZbotPatched.a

Резюме

• Trojan. Выполняет действия, характерные для вредоносных программ

• Осуществляет сетевую активность

• Выполняет потенциально-опасные действия

Технические детали

Имеет размер 200704 байт.

Инсталляция

После запуска создает свои копии под следующими именами:

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\regedit.exe

Создает следующие файлы на зараженном компьютере:

• Каталог для хранения временных файлов ОС Windows (обычно, C:\Documents and Settings\<Имя_текущего_пользователя>\Local Settings\Temp)%Temp%\tmp1.tmp

Обеспечивает Используя системный реестр, системные службы или специальные системные файлы, программа может обеспечивать свой запуск или запуск созданных ею файлов при каждой следующей загрузке ОС Windowsавтозагрузку следующих установленных файлов:

путем прописывания в ключах автозапуска системного реестра:

[ Ветка системного реестра HKEY_LOCAL_MACHINEHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ] "Calc32" = " Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\regedit.exe"

Вредоносная активность

Внедряет свой код в следующие процессы:

• svchost.exe

Создает соединение со следующими адресами в Интернете:

• ***.149.98.166:6400
• ***.146.33.7:6400
• ***.214.216.6:6400
• ***.214.192.192:6400
• ***.112.42.7:6400
• ***.112.42.217:6400
• ***.112.42.216:6400
• ***.120.147.85:6400
• ***.161.193.131:6400
• ***.221.159.154:6400
• ***.157.0.1:6400
• ***.190.85.36:6400
• ***.192.116.26:6400

Обращается к следующим адресам в Интернете:

• http://***.104.27.110/wtf/addon.rar

Для определения своего присутствия в системе создает уникальные идентификаторы "mutex"

• Win32StopOffMutant
• WinHeapTrashDriver3264

Прочие действия

Производит запуск следующих файлов (команд):

• Системный каталог ОС Windows (обычно, C:\Windows\System32)%System%\cmd.exe /c del <­путь к исходной программе­><­файл исходной программы­> >> NUL

Удаляет следующие файлы на зараженном компьютере:

• <­путь к исходной программе­><­файл исходной программы­>