Trojan.DownLoader11.18714

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Winsvc' = 'C:\winnt\svchozt.exe'

Malicious functions:

Creates and executes the following:

'C:\Winnt\InconW.exe'
'C:\Winnt\inst6335\setup.exe' setup.ini pdv pdb60
'C:\Winnt\S3028.exe'
'C:\Winnt\IconzxA.exe'
'C:\Winnt\S3000.exe'
'C:\Winnt\Iconzx.exe'
'C:\Winnt\inst6335\setup.exe' /l C:\MobileClient\bin\msync_com.dll
'C:\Winnt\SVCHOZT.EXE'
'C:\Winnt\Q6335e.exe'
'C:\Winnt\6335e.exe'
'C:\Winnt\I6335e.exe'
'C:\Winnt\QAFt.exe'
'C:\Winnt\QAt.exe'
'C:\Winnt\S6335.exe'
'C:\Winnt\SvcA.exe'

Executes the following:

'<SYSTEM32>\cmd.exe' /c ""C:\Winnt\inst6335\1.bat" "

Terminates or attempts to terminate

the following user processes:

iexplore.exe

Modifies file system :

Creates the following files:

C:\Winnt\Cli2KSupport\logs\Log26-03-08-13-56-40.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-13-58-21.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-13-50-46.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-09-21-22.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-09-22-15.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-13-59-26.log
C:\Winnt\Webmail.url
C:\Winnt\InconW.exe
C:\Winnt\Cli2KSupport\logs\Log27-03-08-04-47-00.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-16-55-24.log
C:\Winnt\Cli2KSupport\logs\Log26-03-08-16-56-25.log
C:\Winnt\inst6335\common\win32\olsql40.dll
C:\Winnt\inst6335\common\win32\olstddll.dll
C:\Winnt\inst6335\common\win32\olr34US.dll
C:\Winnt\inst6335\common\win32\olod2040.dll
C:\Winnt\inst6335\common\win32\olr24US.dll
C:\Winnt\inst6335\common\win32\validatedb.exe
C:\Winnt\Cli2KSupport\Config.ini
C:\Winnt\Cli2KSupport\logs\Log26-03-08-09-17-36.log
C:\Winnt\Cli2KSupport\Cli2KSu.exe
C:\Winnt\inst6335\common\bos\oladcl2040.dll
C:\Winnt\inst6335\common\bos\olcl2040.dll
C:\Winnt\QAt.exe
C:\Winnt\Qcmd.exe
C:\Winnt\QAa.exe
C:\Winnt\MSINET.OCX
C:\Winnt\Mswinsck.ocx
C:\Winnt\S3000.exe
C:\Winnt\DNScodetel.exe
C:\Winnt\Puerto25.exe
C:\Winnt\Z.ICO
C:\Winnt\S3028.exe
C:\Winnt\SVCHOZT.EXE
C:\Winnt\CheckZ.exe
C:\Winnt\Claro Codetel.jpg
C:\Winnt\BK10.exe
C:\Winnt\39.lnk
C:\Winnt\APS.exe
C:\Winnt\Codetel.JPG
C:\Winnt\Mscomctl.ocx
C:\Winnt\MSCOMM32.OCX
C:\Winnt\MPM.exe
C:\Winnt\Codetell.gif
C:\Winnt\Comdlg32.ocx
C:\Winnt\inst6335\common\win32\olobj40.dll
C:\Winnt\inst6335\dmc\otl\MADA$SQLUpdate.otl
C:\Winnt\inst6335\dmc\otl\MADA$Sync.otl
C:\Winnt\inst6335\dmc\otl\MADA$SQLDisconnect.otl
C:\Winnt\inst6335\dmc\otl\MADA$SQL.otl
C:\Winnt\inst6335\dmc\otl\MADA$SQLConnect.otl
C:\Winnt\inst6335\dmc\otl\migrate.otl
C:\Winnt\inst6335\dmc\otl\status.otl
C:\Winnt\inst6335\dmc\otl\sync.otl
C:\Winnt\inst6335\dmc\otl\olite_info.otl
C:\Winnt\inst6335\dmc\otl\notify.otl
C:\Winnt\inst6335\dmc\otl\odbc_info.otl
C:\Winnt\inst6335\dmc\otl\db_info.otl
C:\Winnt\inst6335\dmc\otl\delete.otl
C:\Winnt\inst6335\dmc\otl\cleanup.otl
C:\Winnt\inst6335\dmc\win32\x86\zlib.dll
C:\Winnt\inst6335\dmc\otl\alert.otl
C:\Winnt\inst6335\dmc\otl\dev_info.otl
C:\Winnt\inst6335\dmc\otl\logon.otl
C:\Winnt\inst6335\dmc\otl\MADA$GetServerUrl.otl
C:\Winnt\inst6335\dmc\otl\log.otl
C:\Winnt\inst6335\dmc\otl\exec.otl
C:\Winnt\inst6335\dmc\otl\exit.otl
C:\Winnt\inst6335\common\win32\msync.jar
C:\Winnt\inst6335\common\win32\msync_com.dll
C:\Winnt\inst6335\common\win32\msync.exe
C:\Winnt\inst6335\common\win32\msql.exe
C:\Winnt\inst6335\common\win32\msql.jar
C:\Winnt\inst6335\common\win32\msync_java.dll
C:\Winnt\inst6335\common\win32\olite40.jar
C:\Winnt\inst6335\common\win32\oljdbc40.dll
C:\Winnt\inst6335\common\win32\olil125x.dll
C:\Winnt\inst6335\common\win32\ocapi.dll
C:\Winnt\inst6335\common\win32\olad2040.dll
C:\Winnt\inst6335\dmc\otl\sync_sel.otl
C:\Winnt\inst6335\dmc\otl\uninst.otl
C:\Winnt\inst6335\dmc\otl\sync_log.otl
C:\Winnt\inst6335\dmc\otl\sync_close.otl
C:\Winnt\inst6335\dmc\otl\sync_delete.otl
C:\Winnt\inst6335\dmc\otl\updt_conf.otl
C:\Winnt\inst6335\common\win32\encrypdb.exe
C:\Winnt\inst6335\common\win32\msql.dll
C:\Winnt\inst6335\dmc\otl\verify.otl
C:\Winnt\inst6335\dmc\otl\upload.otl
C:\Winnt\inst6335\dmc\otl\validate.otl
%WINDIR%\39.lnk
C:\MobileClient\apps\dm\sync_log.otl
C:\MobileClient\apps\dm\sync_delete.otl
C:\MobileClient\apps\dm\sync_sel.otl
C:\MobileClient\apps\dm\upload.otl
C:\MobileClient\apps\dm\updt_conf.otl
C:\MobileClient\apps\dm\sync_close.otl
C:\MobileClient\apps\dm\odbc_info.otl
C:\MobileClient\apps\dm\notify.otl
C:\MobileClient\apps\dm\olite_info.otl
C:\MobileClient\apps\dm\sync.otl
C:\MobileClient\apps\dm\status.otl
%HOMEPATH%\Start Menu\WebMail.lnk
%HOMEPATH%\Start Menu\Programs\WebMail.lnk
C:\MobileClient\bin\olobj40.dll
C:\MobileClient\bin\olod2040.dll
%HOMEPATH%\Desktop\WebMail.lnk
C:\MobileClient\bin\oljdbc40.dll
C:\MobileClient\apps\dm\verify.otl
C:\MobileClient\apps\dm\validate.otl
%ALLUSERSPROFILE%\Start Menu\Programs\Oracle Database Lite 10g\Oracle Lite Device Manager.lnk
%WINDIR%\polite.ini
C:\Winnt\Iconzx.exe
C:\MobileClient\apps\dm\cleanup.otl
C:\MobileClient\apps\dm\alert.otl
C:\MobileClient\apps\dm\db_info.otl
C:\MobileClient\apps\dm\dev_info.otl
C:\MobileClient\apps\dm\delete.otl
%ALLUSERSPROFILE%\Start Menu\Programs\Oracle Database Lite 10g\Actualizacion de Oracle Lite.lnk
%TEMP%\fc1.tmp
C:\Tarifador\SET2.tmp
C:\MobileClient\oldb40\PDV\hist.odb
C:\MobileClient\oldb40\PDV\tfm.odb
C:\ITok.txt
C:\MobileClient\apps\dm\MADA$SQLDisconnect.otl
C:\MobileClient\apps\dm\MADA$SQLConnect.otl
C:\MobileClient\apps\dm\MADA$SQLUpdate.otl
C:\MobileClient\apps\dm\migrate.otl
C:\MobileClient\apps\dm\MADA$Sync.otl
C:\MobileClient\apps\dm\MADA$SQL.otl
C:\MobileClient\apps\dm\exit.otl
C:\MobileClient\apps\dm\exec.otl
C:\MobileClient\apps\dm\log.otl
C:\MobileClient\apps\dm\MADA$GetServerUrl.otl
C:\MobileClient\apps\dm\logon.otl
C:\MobileClient\bin\olad2040.dll
C:\MobileClient\bin\olite40.jar
C:\MobileClient\bin\otl.exe
C:\MobileClient\bin\msql.jar
C:\MobileClient\bin\olite40.msb
C:\MobileClient\bin\msync.jar
C:\MobileClient\bin\jinfo.exe
C:\MobileClient\bin\setup.exe
C:\MobileClient\bin\dmagent.exe
C:\MobileClient\bin\olver.exe
C:\MobileClient\bin\launch.exe
C:\MobileClient\bin\update.exe
%WINDIR%\Mswinsck.ocx
C:\Winnt\40.lnk
%WINDIR%\MSCOMM32.OCX
%WINDIR%\Comdlg32.ocx
%WINDIR%\Mscomctl.ocx
%WINDIR%\40.lnk
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\fd86f733783bedcc21308ef85154b87a_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\6b1f676e-d9a2-4101-9338-6262cff60ec2
C:\IP.txt
C:\CRNJEUFU.txt
C:\MobileClient\bin\olr34US.dll
C:\MobileClient\bin\olr24US.dll
C:\MobileClient\bin\msql.dll
C:\MobileClient\bin\olcl2040.dll
C:\MobileClient\bin\olstddll.dll
C:\MobileClient\bin\olil125x.dll
C:\MobileClient\bin\ocapi.dll
C:\MobileClient\bin\olsql40.dll
C:\MobileClient\bin\msync_java.dll
C:\MobileClient\bin\zlib.dll
C:\MobileClient\bin\msync_com.dll
C:\MobileClient\bin\msync.exe
C:\MobileClient\bin\omcapi.dll
C:\MobileClient\bin\validatedb.exe
C:\MobileClient\bin\msql.exe
C:\MobileClient\bin\encrypdb.exe
C:\MobileClient\bin\msvcp60.dll
C:\MobileClient\bin\msyncr.dll
C:\MobileClient\bin\oladcl2040.dll
C:\MobileClient\bin\olaes.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\google[1]
C:\MobileClient\bin\omcres.dll
C:\Winnt\13.exe
C:\Winnt\13.lnk
C:\Winnt\12.lnk
C:\Winnt\11.lnk
C:\Winnt\11i.lnk
C:\Winnt\14.exe
C:\Winnt\29.lnk
C:\Winnt\3.lnk
C:\Winnt\28.lnk
C:\Winnt\14.lnk
C:\Winnt\2.lnk
%WINDIR%\ManualTarifador.lnk
%WINDIR%\TRZ.exe
%WINDIR%\ManualAdesk.lnk
%WINDIR%\Manual11.lnk
%WINDIR%\Manual12.lnk
%WINDIR%\Visor.lnk
C:\Winnt\0.lnk
C:\Winnt\1.lnk
%WINDIR%\Webmail.url
%WINDIR%\WMZ.exe
%WINDIR%\WebMail.lnk
C:\Winnt\9.exe
C:\Winnt\9.lnk
C:\Winnt\8.lnk
C:\Winnt\6.lnk
C:\Winnt\7.lnk
C:\Winnt\AZA.exe
C:\Winnt\Caso414.exe
C:\Winnt\Caso41416.exe
C:\Winnt\Caso10816.exe
C:\Winnt\Caso0.exe
C:\Winnt\Caso108.exe
C:\Winnt\33.lnk
C:\Winnt\34.lnk
C:\Winnt\32.lnk
C:\Winnt\30.lnk
C:\Winnt\31.lnk
C:\Winnt\35.lnk
C:\Winnt\4.lnk
C:\Winnt\5.lnk
C:\Winnt\38.lnk
C:\Winnt\36.lnk
C:\Winnt\37.lnk
%WINDIR%\IPNumero.lnk
%WINDIR%\3.lnk
%WINDIR%\30.lnk
%WINDIR%\29.lnk
%WINDIR%\2.lnk
%WINDIR%\28.lnk
%WINDIR%\31.lnk
%WINDIR%\35.lnk
%WINDIR%\36.lnk
%WINDIR%\34.lnk
%WINDIR%\32.lnk
%WINDIR%\33.lnk
C:\Winnt\6335e.exe
%WINDIR%\0.lnk
C:\Winnt\S6335.exe
C:\Winnt\I6335e.exe
C:\Winnt\Q6335e.exe
%WINDIR%\1.lnk
%WINDIR%\13.lnk
%WINDIR%\14.lnk
%WINDIR%\12.lnk
%WINDIR%\11.lnk
%WINDIR%\11i.lnk
%WINDIR%\GGZ.exe
%WINDIR%\Google.url
%WINDIR%\DNSZ.mht
%WINDIR%\DNSi.lnk
%WINDIR%\DNSiZ.mht
%WINDIR%\GuiaAngras.lnk
%WINDIR%\IPN.lnk
%WINDIR%\IPNombre.lnk
%WINDIR%\IPN.htm
%WINDIR%\IP.htm
%WINDIR%\ip.lnk
%WINDIR%\5.lnk
%WINDIR%\6.lnk
%WINDIR%\4.lnk
%WINDIR%\37.lnk
%WINDIR%\38.lnk
%WINDIR%\7.lnk
%WINDIR%\COZ.exe
%WINDIR%\DNS.lnk
%WINDIR%\CLZ.exe
%WINDIR%\8.lnk
%WINDIR%\9.lnk
C:\Winnt\CiriAm.exe
C:\Winnt\inst6335\US\win32\olite40.msb
C:\Winnt\inst6335\oli\borlndmm.dll
C:\Winnt\inst6335\US\win32\msyncr.dll
C:\Winnt\inst6335\Setup_ruso.inf
C:\Winnt\inst6335\syncerr.txt
C:\Winnt\inst6335\oli\CCPAng2005.dll
C:\Winnt\inst6335\oli\hist.opw
C:\Winnt\inst6335\oli\msdart.dll
C:\Winnt\inst6335\oli\hist.odb
C:\Winnt\inst6335\oli\ConfigTarifador.ini
C:\Winnt\inst6335\oli\ConfigTFSupport.ini
C:\Winnt\Z3.ICO
C:\Winnt\Zip32.dll
C:\Winnt\WMZ.exe
C:\Winnt\Visor.lnk
C:\Winnt\WebMail.lnk
C:\Winnt\inst6335\1.bat
C:\Winnt\inst6335\Setup061205.inf
C:\Winnt\inst6335\Setup_old.inf
C:\Winnt\inst6335\Setup.inf
C:\Winnt\inst6335\msvcp60.dll
C:\Winnt\inst6335\setup.exe
C:\Winnt\inst6335\dmc\win32\x86\launch.exe
C:\Winnt\inst6335\dmc\win32\x86\olaes.dll
C:\Winnt\inst6335\dmc\win32\x86\jinfo.exe
C:\Winnt\inst6335\oli\Apps\InstallVersion.exe
C:\Winnt\inst6335\dmc\win32\x86\dmagent.exe
C:\Winnt\inst6335\dmc\win32\x86\olver.exe
C:\Winnt\inst6335\dmc\win32\x86\setup_US.exe
C:\Winnt\inst6335\dmc\win32\x86\update.exe
C:\Winnt\inst6335\dmc\win32\x86\otl.exe
C:\Winnt\inst6335\dmc\win32\x86\omcapi.dll
C:\Winnt\inst6335\dmc\win32\x86\omcres_US.dll
C:\Winnt\inst6335\oli\Tarifador.exe
C:\Winnt\inst6335\oli\tfm.odb
C:\Winnt\inst6335\oli\pre_conexion.ini
C:\Winnt\inst6335\oli\msvcp60.dll
C:\Winnt\inst6335\oli\omcapi.dll
C:\Winnt\inst6335\oli\tfm.opw
C:\Winnt\inst6335\oli\tf_install_old.dll
C:\Winnt\inst6335\oli\logs\SEM39.ANO2007.ERR.log
C:\Winnt\inst6335\oli\tf_install.dll
C:\Winnt\inst6335\oli\TFSupport.exe
C:\Winnt\inst6335\oli\tf_config.ini
C:\Winnt\Visor.exe
C:\Winnt\GuiaAngras.rtf
C:\Winnt\IconzxA.exe
C:\Winnt\GuiaAngras.lnk
C:\Winnt\GGZ.exe
C:\Winnt\Google.url
C:\Winnt\InconT.exe
C:\Winnt\ip.lnk
C:\Winnt\IPN.htm
C:\Winnt\IP.htm
C:\Winnt\InstAn.exe
C:\Winnt\InstAz.exe
C:\Winnt\cpa.exe
C:\Winnt\DNS.lnk
C:\Winnt\COZ.exe
C:\Winnt\Cli2.exe
C:\Winnt\CLZ.exe
C:\Winnt\DNSi.lnk
C:\Winnt\Encitia.exe
C:\Winnt\FiscalPro.exe
C:\Winnt\Enciti.exe
C:\Winnt\DNSiZ.mht
C:\Winnt\DNSZ.mht
C:\Winnt\Router.lnk
C:\Winnt\run99.exe
C:\Winnt\QDel.exe
C:\Winnt\QADel.exe
C:\Winnt\QAFt.exe
C:\Winnt\SvcA.exe
C:\Winnt\TRZ.exe
C:\Winnt\Unzip32.dll
C:\Winnt\TfIni.exe
C:\Winnt\TarifadorZ.exe
C:\Winnt\telDel.BAT
C:\Winnt\Manual11.lnk
C:\Winnt\Manual12.lnk
C:\Winnt\IPNumero.lnk
C:\Winnt\IPN.lnk
C:\Winnt\IPNombre.lnk
C:\Winnt\ManualAdesk.lnk
C:\Winnt\Puerto45.exe
C:\Winnt\QADel.BAT
C:\Winnt\Puerto.exe
C:\Winnt\ManualTarifador.lnk
C:\Winnt\Modem.lnk

Deletes the following files:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\google[1]
C:\Winnt\I6335e.exe

Network activity:

Connects to:

'74.##5.232.51':80

TCP:

HTTP GET requests:

74.##5.232.51/

UDP:

DNS ASK www.google.com

Miscellaneous:

Searches for the following windows:

ClassName: '(null)' WindowName: 'cli2ksu'
ClassName: '(null)' WindowName: 'Tarifador'
ClassName: '(null)' WindowName: 'Servidor3028 Francisco Zapata 809 953 2002'
ClassName: '(null)' WindowName: 'Servidor3000 Francisco Zapata 809 953 2002'
ClassName: '(null)' WindowName: 'Install Tarifador v6.3'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'EDIT' WindowName: '(null)'
ClassName: '(null)' WindowName: 'Oracle Lite Setup'
ClassName: '(null)' WindowName: '6335'

Технологии

Термины

Обучение и просвещение

Мифы

Technical Information

Рекомендации по лечению

Демо бесплатно на 14 дней