Trojan.DownLoader13.1074

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Compatibility Virtual Experience IP' = '<SYSTEM32>\cvggewso.exe'

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Input Identity] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

'<SYSTEM32>\dftjfir.exe' "<SYSTEM32>\cvggewso.exe"
'%WINDIR%\Temp\twyifkt2y30ohdmo.exe' -r 29435 tcp
'%TEMP%\twyifkt2px6ohdmowzbrxwdi.exe'
'<SYSTEM32>\cvggewso.exe'

Modifies file system :

Creates the following files:

<SYSTEM32>\svxiyhbmjv\run
<SYSTEM32>\svxiyhbmjv\rng
%WINDIR%\Temp\twyifkt2y30ohdmo.exe
<SYSTEM32>\svxiyhbmjv\cfg
<SYSTEM32>\dftjfir.exe
%TEMP%\twyifkt2px6ohdmowzbrxwdi.exe
<SYSTEM32>\svxiyhbmjv\tst
<SYSTEM32>\cvggewso.exe
<SYSTEM32>\svxiyhbmjv\etc

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\dftjfir.exe
<SYSTEM32>\cvggewso.exe

Deletes the following files:

%WINDIR%\Temp\twyifkt2y30ohdmo.exe
<DRIVERS>\etc\hosts
%TEMP%\twyifkt2px6ohdmowzbrxwdi.exe

Substitutes the HOSTS file.

Network activity:

Connects to:

'se####berlate.net':80
'ha###ate.net':80
'se####berguide.net':80
'jo###ame.net':80
'wi###alf.net':80
'jo###alf.net':80
'se####berhalf.net':80
'ha###alf.net':80
'of###late.net':80
'ha###uide.net':80
'se####bername.net':80
'ha###ame.net':80
'ro###ame.net':80
'de###ame.net':80
'ro###alf.net':80
'de###ate.net':80
'ro###uide.net':80
'de###uide.net':80
'wi###uide.net':80
'jo###uide.net':80
'wi###ame.net':80
'de###alf.net':80
'wi###ate.net':80
'jo###ate.net':80
'fr###late.net':80
'bo###lain.net':80
'fr###yloss.net':80
'mo###gray.net':80
'na###eep.com':80
'eg###aker.com':80
'wa###ord.net':80
'lo###old.net':80
'fe###tate.net':80
'ab###ead.net':80
'st###ocean.net':80
'na###here.net':80
'mo###next.net':80
'fr###name.net':80
'of###half.net':80
'fr###half.net':80
'of###guide.net':80
'fr###guide.net':80
'of###name.net':80
'we###uide.net':80
'sp###name.net':80
'it###need.com':80
'sp###late.net':80
'we###ate.net':80
'sp###guide.net':80

TCP:

HTTP GET requests:

http://se####berlate.net/index.php?me################################################
http://ha###ate.net/index.php?me################################################
http://se####berguide.net/index.php?me################################################
http://jo###ame.net/index.php?me################################################
http://wi###alf.net/index.php?me################################################
http://jo###alf.net/index.php?me################################################
http://se####berhalf.net/index.php?me################################################
http://ha###alf.net/index.php?me################################################
http://of###late.net/index.php?me################################################
http://ha###uide.net/index.php?me################################################
http://se####bername.net/index.php?me################################################
http://ha###ame.net/index.php?me################################################
http://ro###ame.net/index.php?me################################################
http://de###ame.net/index.php?me################################################
http://ro###alf.net/index.php?me################################################
http://de###ate.net/index.php?me################################################
http://ro###uide.net/index.php?me################################################
http://de###uide.net/index.php?me################################################
http://wi###uide.net/index.php?me################################################
http://jo###uide.net/index.php?me################################################
http://wi###ame.net/index.php?me################################################
http://de###alf.net/index.php?me################################################
http://wi###ate.net/index.php?me################################################
http://jo###ate.net/index.php?me################################################
http://fr###late.net/index.php?me################################################
http://bo###lain.net/index.php?me################################################
http://fr###yloss.net/index.php?me################################################
http://mo###gray.net/index.php?me################################################
http://na###eep.com/index.php?me################################################
http://eg###aker.com/index.php?me################################################
http://wa###ord.net/index.php?me################################################
http://lo###old.net/index.php?me################################################
http://fe###tate.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://st###ocean.net/index.php?me################################################
http://na###here.net/index.php?me################################################
http://mo###next.net/index.php?me################################################
http://fr###name.net/index.php?me################################################
http://of###half.net/index.php?me################################################
http://fr###half.net/index.php?me################################################
http://of###guide.net/index.php?me################################################
http://fr###guide.net/index.php?me################################################
http://of###name.net/index.php?me################################################
http://we###uide.net/index.php?me################################################
http://sp###name.net/index.php?me################################################
http://it###need.com/index.php?me################################################
http://sp###late.net/index.php?me################################################
http://we###ate.net/index.php?me################################################
http://sp###guide.net/index.php?me################################################

UDP:

DNS ASK se####berlate.net
DNS ASK ha###ate.net
DNS ASK se####berguide.net
DNS ASK jo###ame.net
DNS ASK wi###alf.net
DNS ASK jo###alf.net
DNS ASK se####berhalf.net
DNS ASK ha###alf.net
DNS ASK of###late.net
DNS ASK ha###uide.net
DNS ASK se####bername.net
DNS ASK ha###ame.net
DNS ASK wi###ame.net
DNS ASK de###uide.net
DNS ASK ro###ame.net
DNS ASK de###ame.net
DNS ASK ro###ate.net
DNS ASK de###ate.net
DNS ASK ro###uide.net
DNS ASK jo###ate.net
DNS ASK wi###uide.net
DNS ASK jo###uide.net
DNS ASK ro###alf.net
DNS ASK de###alf.net
DNS ASK wi###ate.net
DNS ASK fr###late.net
DNS ASK bo###lain.net
DNS ASK fr###yloss.net
DNS ASK mo###gray.net
DNS ASK na###eep.com
DNS ASK eg###aker.com
DNS ASK wa###ord.net
DNS ASK lo###old.net
DNS ASK fe###tate.net
DNS ASK ab###ead.net
DNS ASK st###ocean.net
DNS ASK na###here.net
DNS ASK mo###next.net
DNS ASK fr###name.net
DNS ASK of###half.net
DNS ASK fr###half.net
DNS ASK of###guide.net
DNS ASK fr###guide.net
DNS ASK of###name.net
DNS ASK we###uide.net
DNS ASK sp###name.net
DNS ASK it###need.com
DNS ASK sp###late.net
DNS ASK we###ate.net
DNS ASK sp###guide.net
'23#.#55.255.250':1900

Tecnologías

Términos

Formación y educación

Mitos

Technical Information

Curing recommendations

Free trial