Trojan.DownLoader21.25370

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System Manager Publication Error Detection File' = '<SYSTEM32>\zzfijnjm.exe'

Creates the following services:

[<HKLM>\SYSTEM\ControlSet001\Services\Connect Publication Certificate] 'ImagePath' = '<SYSTEM32>\zzfijnjm.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\Connect Publication Certificate] 'Start' = '00000002'

Malicious functions:

To complicate detection of its presence in the operating system,

blocks the following features:

Windows Security Center

Creates and executes the following:

'<SYSTEM32>\zjwkmyeqbtox.exe' "<SYSTEM32>\zzfijnjm.exe"
'%WINDIR%\Temp\yyltcptl2tr7adrwe.exe' -r 48510 tcp
'%TEMP%\yyltcptl2l4vadrwelvygf0v.exe'
'<SYSTEM32>\zzfijnjm.exe'

Modifies file system:

Creates the following files:

<SYSTEM32>\aydvpvoibohhxru\run
<SYSTEM32>\aydvpvoibohhxru\rng
%WINDIR%\Temp\yyltcptl2tr7adrwe.exe
<SYSTEM32>\aydvpvoibohhxru\cfg
<SYSTEM32>\zjwkmyeqbtox.exe
%TEMP%\yyltcptl2l4vadrwelvygf0v.exe
<SYSTEM32>\aydvpvoibohhxru\tst
<SYSTEM32>\zzfijnjm.exe
<SYSTEM32>\aydvpvoibohhxru\etc

Sets the 'hidden' attribute to the following files:

<SYSTEM32>\zjwkmyeqbtox.exe
<SYSTEM32>\zzfijnjm.exe

Deletes the following files:

%WINDIR%\Temp\yyltcptl2tr7adrwe.exe
<DRIVERS>\etc\hosts
%TEMP%\yyltcptl2l4vadrwelvygf0v.exe

Substitutes the HOSTS file.

Network activity:

Connects to:

'mu###guess.net':80
'ya###uess.net':80
'sp###stood.net':80
'we###tood.net':80
'mu###first.net':80
'ya###ill.net':80
'mu###stood.net':80
'ya###irst.net':80
'mu###kill.net':80
'fr###stood.net':80
'sp###guess.net':80
'fr###kill.net':80
'of###stood.net':80
'we###uess.net':80
'sp###kill.net':80
'we###ill.net':80
'sp###first.net':80
'we###irst.net':80
'na###here.net':80
'mo###next.net':80
'de####erknew.net':80
'st###ocean.net':80
'lo###old.net':80
'mu###appy.net':80
'ab###ead.net':80
'ca###ile.net':80
'fe###tate.net':80
'hu###guess.net':80
'eg###aker.com':80
'ya###tood.net':80
'ha###uess.net':80
'na###eep.com':80
'fr###yloss.net':80
'mo###gray.net':80
'wa###ord.net':80
'bo###lain.net':80

TCP:

HTTP GET requests:

http://mu###guess.net/index.php?me################################################
http://ya###uess.net/index.php?me################################################
http://sp###stood.net/index.php?me################################################
http://we###tood.net/index.php?me################################################
http://mu###first.net/index.php?me################################################
http://ya###ill.net/index.php?me################################################
http://mu###stood.net/index.php?me################################################
http://ya###irst.net/index.php?me################################################
http://mu###kill.net/index.php?me################################################
http://fr###stood.net/index.php?me################################################
http://sp###guess.net/index.php?me################################################
http://fr###kill.net/index.php?me################################################
http://of###stood.net/index.php?me################################################
http://we###uess.net/index.php?me################################################
http://sp###kill.net/index.php?me################################################
http://we###ill.net/index.php?me################################################
http://sp###first.net/index.php?me################################################
http://we###irst.net/index.php?me################################################
http://na###here.net/index.php?me################################################
http://mo###next.net/index.php?me################################################
http://de####erknew.net/index.php?me################################################
http://st###ocean.net/index.php?me################################################
http://lo###old.net/index.php?me################################################
http://mu###appy.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://ca###ile.net/index.php?me################################################
http://fe###tate.net/index.php?me################################################
http://hu###guess.net/index.php?me################################################
http://eg###aker.com/index.php?me################################################
http://ya###tood.net/index.php?me################################################
http://ha###uess.net/index.php?me################################################
http://na###eep.com/index.php?me################################################
http://fr###yloss.net/index.php?me################################################
http://mo###gray.net/index.php?me################################################
http://wa###ord.net/index.php?me################################################
http://bo###lain.net/index.php?me################################################