Trojan.DownLoader26.49598

Technical Information

Malicious functions:

To bypass firewall, removes or modifies the following registry keys:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8MC\MCDLPlatform.exe' = '%ProgramFiles%\Kuai8MC\MCDLP...
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\Kuai8MC\MCDLPlatform.exe' = '%ProgramFiles%\Kuai8MC\MCD...

Modifies file system:

Creates the following files:

%TEMP%\nse2.tmp
%ProgramFiles%\Kuai8MC\gamejsons\1.9.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.9.1.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.9.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.8.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.7.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.6.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.6.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.4.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.3.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.1.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.9.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.8.json
%ProgramFiles%\Kuai8MC\gamejsons\1.8.5.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.7.json
%ProgramFiles%\Kuai8MC\gamejsons\1.9.3.json
%ProgramFiles%\Kuai8MC\danmaku\html\js\j-bnt.png
%HOMEPATH%\Start Menu\Programs\їм°ЙОТµДКАЅзєРЧУ\їм°ЙОТµДКАЅзєРЧУ.lnk
%HOMEPATH%\Desktop\їм°ЙОТµДКАЅзєРЧУ.lnk
%APPDATA%\Kuai8MC\data\net\pure.gmx
%ProgramFiles%\Kuai8MC\danmaku\html\js\jquery.mousewheel.js
%ProgramFiles%\Kuai8MC\danmaku\html\js\jquery.jscrollpane.css
%ProgramFiles%\Kuai8MC\danmaku\html\js\jquery-1.11.1.min.js
%ProgramFiles%\Kuai8MC\gamejsons\1.9.json
%ProgramFiles%\Kuai8MC\gamejsons\1.9.4.json
%ProgramFiles%\Kuai8MC\danmaku\html\js\j-back.png
%ProgramFiles%\Kuai8MC\danmaku\html\js\box.js
%ProgramFiles%\Kuai8MC\danmaku\html\css\style.css
%ProgramFiles%\Kuai8MC\danmaku\html\index.html
%ProgramFiles%\Kuai8MC\jars\mcagent.jar
%ProgramFiles%\Kuai8MC\jars\asm-all-5.0.3.jar
%ProgramFiles%\Kuai8MC\danmaku\html\js\jScrollPane.js
%ProgramFiles%\Kuai8MC\gamejsons\1.7.5.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.4.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.3.json
%ProgramFiles%\Kuai8MC\K8WebGame.exe
%ProgramFiles%\Kuai8MC\K8UrlEncrypt.dll
%ProgramFiles%\Kuai8MC\MCDLPlatform.exe
%ProgramFiles%\Kuai8MC\K8UpExt.exe
%ProgramFiles%\Kuai8MC\K8Bubble.exe
%ProgramFiles%\Kuai8MC\msvcp80.dll
%ProgramFiles%\Kuai8MC\MCDanmaku.exe
%ProgramFiles%\Kuai8MC\K8DLUtils.dll
%ProgramFiles%\Kuai8MC\K8Common.dll
%ProgramFiles%\Kuai8MC\K8UIRender.dll
%ProgramFiles%\Kuai8MC\K8MC.exe
%TEMP%\nsj3.tmp\K8NsisMiniExtend.dll
%TEMP%\nsj3.tmp\System.dll
%ProgramFiles%\Kuai8MC\MCBugReport.exe
%ProgramFiles%\Kuai8MC\msvcr80.dll
%ProgramFiles%\Kuai8MC\Microsoft.VC80.CRT.manifest
%ProgramFiles%\Kuai8MC\Uninstall.exe
%ProgramFiles%\Kuai8MC\gamejsons\1.7.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.4.7.json
%ProgramFiles%\Kuai8MC\gamejsons\1.7.10.json
%ProgramFiles%\Kuai8MC\gamejsons\1.6.4.json
%ProgramFiles%\Kuai8MC\gamejsons\1.6.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.6.1.json
%ProgramFiles%\Kuai8MC\gamejsons\1.5.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.5.1.json
%ProgramFiles%\Kuai8MC\gamejsons\1.12.json
%ProgramFiles%\Kuai8MC\Gdiplus.dll
%ProgramFiles%\Kuai8MC\gamejsons\1.11.json
%ProgramFiles%\Kuai8MC\gamejsons\1.11.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.10.json
%ProgramFiles%\Kuai8MC\gamejsons\1.10.2.json
%ProgramFiles%\Kuai8MC\gamejsons\1.10.1.json
%ProgramFiles%\Kuai8MC\natives\MCGameAssist.dll
%HOMEPATH%\Start Menu\Programs\їм°ЙОТµДКАЅзєРЧУ\Р¶ФШїм°ЙОТµДКАЅзєРЧУ.lnk
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\safe_page[1].php

Deletes the following files:

%TEMP%\nsj3.tmp\K8NsisMiniExtend.dll
%TEMP%\nsj3.tmp\System.dll

Network activity:

Connects to:

'st##.#c.kuai8.com':80
'localhost':1041
'up####.mc.kuai8.com':80
'us##.#c.kuai8.com':80

TCP:

HTTP GET requests:

http://st##.#c.kuai8.com/stat.php?da####################################################################
http://up####.mc.kuai8.com/v3/my_game.php?da#####################################################################################################################################################...
http://up####.mc.kuai8.com/v3/safe_page.php?ty###################################################################################################################################################...
http://up####.mc.kuai8.com/bubble_action.php?da##################################################################################################################################################...
http://up####.mc.kuai8.com/keepalive.php?da######################################################################################################################################################...
http://up####.mc.kuai8.com/coupon_gift.php?da####################################################################################################################################################...
http://us##.#c.kuai8.com/user_wake.php?da########################################################################################################################################################...

HTTP POST requests:

http://up####.mc.kuai8.com/update.php?da#########################################################################################################################################################...
http://st##.#c.kuai8.com/stat/do_stat.php?da########################################################################################################

UDP: