Trojan.DownLoader25.55924

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dmutsapi' = '%APPDATA%\Microsoft\Corppres\aaaanfig.exe'

Malicious functions:

Creates and executes the following:

'%APPDATA%\Microsoft\Corppres\aaaanfig.exe' "<Full path to file>"

Executes the following:

'<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
'<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\1F20.bi1"
'<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\1F1C.bi1"
'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\1F1C.bi1"
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\803A\CA.bat" "%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "<Full path to file>""
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "<Full path to file>""
'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\1F20.bi1"

Injects code into

the following system processes:

%WINDIR%\Explorer.EXE

the following user processes:

opera.exe

Modifies file system:

Creates the following files:

%TEMP%\AC.tmp
%TEMP%\AD.tmp
%TEMP%\AA.tmp
%TEMP%\AB.tmp
%TEMP%\B0.tmp
%TEMP%\B1.tmp
%TEMP%\AE.tmp
%TEMP%\AF.tmp
%TEMP%\A4.tmp
%TEMP%\A5.tmp
%TEMP%\A2.tmp
%TEMP%\A3.tmp
%TEMP%\A8.tmp
%TEMP%\A9.tmp
%TEMP%\A6.tmp
%TEMP%\A7.tmp
%TEMP%\BC.tmp
%TEMP%\BD.tmp
%TEMP%\BA.tmp
%TEMP%\BB.tmp
%TEMP%\C0.tmp
%TEMP%\C1.tmp
%TEMP%\BE.tmp
%TEMP%\BF.tmp
%TEMP%\B4.tmp
%TEMP%\B5.tmp
%TEMP%\B2.tmp
%TEMP%\B3.tmp
%TEMP%\B8.tmp
%TEMP%\B9.tmp
%TEMP%\B6.tmp
%TEMP%\B7.tmp
%TEMP%\8C.tmp
%TEMP%\8D.tmp
%TEMP%\8A.tmp
%TEMP%\8B.tmp
%TEMP%\90.tmp
%TEMP%\91.tmp
%TEMP%\8E.tmp
%TEMP%\8F.tmp
%TEMP%\84.tmp
%TEMP%\85.tmp
%TEMP%\82.tmp
%TEMP%\83.tmp
%TEMP%\88.tmp
%TEMP%\89.tmp
%TEMP%\86.tmp
%TEMP%\87.tmp
%TEMP%\9C.tmp
%TEMP%\9D.tmp
%TEMP%\9A.tmp
%TEMP%\9B.tmp
%TEMP%\A0.tmp
%TEMP%\A1.tmp
%TEMP%\9E.tmp
%TEMP%\9F.tmp
%TEMP%\94.tmp
%TEMP%\95.tmp
%TEMP%\92.tmp
%TEMP%\93.tmp
%TEMP%\98.tmp
%TEMP%\99.tmp
%TEMP%\96.tmp
%TEMP%\97.tmp
%TEMP%\C2.tmp
%TEMP%\ED.tmp
%TEMP%\EE.tmp
%TEMP%\EB.tmp
%TEMP%\EC.tmp
%TEMP%\F1.tmp
%TEMP%\F2.tmp
%TEMP%\EF.tmp
%TEMP%\F0.tmp
%TEMP%\E5.tmp
%TEMP%\E6.tmp
%TEMP%\E3.tmp
%TEMP%\E4.tmp
%TEMP%\E9.tmp
%TEMP%\EA.tmp
%TEMP%\E7.tmp
%TEMP%\E8.tmp
%TEMP%\FD.tmp
%TEMP%\FE.tmp
%TEMP%\FB.tmp
%TEMP%\FC.tmp
%TEMP%\1F20.bi1
%TEMP%\1F1C.bi1
%TEMP%\FF.tmp
%TEMP%\100.tmp
%TEMP%\F5.tmp
%TEMP%\F6.tmp
%TEMP%\F3.tmp
%TEMP%\F4.tmp
%TEMP%\F9.tmp
%TEMP%\FA.tmp
%TEMP%\F7.tmp
%TEMP%\F8.tmp
%TEMP%\CD.tmp
%TEMP%\CE.tmp
%TEMP%\CB.tmp
%TEMP%\CC.tmp
%TEMP%\D1.tmp
%TEMP%\D2.tmp
%TEMP%\CF.tmp
%TEMP%\D0.tmp
%TEMP%\C5.tmp
%TEMP%\C6.tmp
%TEMP%\C3.tmp
%TEMP%\C4.tmp
%TEMP%\C9.tmp
%APPDATA%\Microsoft\Corppres\aaaanfig.exe
%TEMP%\C7.tmp
%TEMP%\C8.tmp
%TEMP%\DD.tmp
%TEMP%\DE.tmp
%TEMP%\DB.tmp
%TEMP%\DC.tmp
%TEMP%\E1.tmp
%TEMP%\E2.tmp
%TEMP%\DF.tmp
%TEMP%\E0.tmp
%TEMP%\D5.tmp
%TEMP%\D6.tmp
%TEMP%\D3.tmp
%TEMP%\D4.tmp
%TEMP%\D9.tmp
%TEMP%\DA.tmp
%TEMP%\D7.tmp
%TEMP%\D8.tmp
%TEMP%\2B.tmp
%TEMP%\2C.tmp
%TEMP%\29.tmp
%TEMP%\2A.tmp
%TEMP%\2F.tmp
%TEMP%\30.tmp
%TEMP%\2D.tmp
%TEMP%\2E.tmp
%TEMP%\23.tmp
%TEMP%\24.tmp
%TEMP%\21.tmp
%TEMP%\22.tmp
%TEMP%\27.tmp
%TEMP%\28.tmp
%TEMP%\25.tmp
%TEMP%\26.tmp
%TEMP%\3B.tmp
%TEMP%\3C.tmp
%TEMP%\39.tmp
%TEMP%\3A.tmp
%TEMP%\3F.tmp
%TEMP%\40.tmp
%TEMP%\3D.tmp
%TEMP%\3E.tmp
%TEMP%\33.tmp
%TEMP%\34.tmp
%TEMP%\31.tmp
%TEMP%\32.tmp
%TEMP%\37.tmp
%TEMP%\38.tmp
%TEMP%\35.tmp
%TEMP%\36.tmp
%TEMP%\B.tmp
%TEMP%\C.tmp
%TEMP%\9.tmp
%TEMP%\A.tmp
%TEMP%\F.tmp
%TEMP%\10.tmp
%TEMP%\D.tmp
%TEMP%\E.tmp
%TEMP%\3.tmp
%TEMP%\4.tmp
%TEMP%\1.tmp
%TEMP%\2.tmp
%TEMP%\7.tmp
%TEMP%\8.tmp
%TEMP%\5.tmp
%TEMP%\6.tmp
%TEMP%\1B.tmp
%TEMP%\1C.tmp
%TEMP%\19.tmp
%TEMP%\1A.tmp
%TEMP%\1F.tmp
%TEMP%\20.tmp
%TEMP%\1D.tmp
%TEMP%\1E.tmp
%TEMP%\13.tmp
%TEMP%\14.tmp
%TEMP%\11.tmp
%TEMP%\12.tmp
%TEMP%\17.tmp
%TEMP%\18.tmp
%TEMP%\15.tmp
%TEMP%\16.tmp
%TEMP%\41.tmp
%TEMP%\6C.tmp
%TEMP%\6D.tmp
%TEMP%\6A.tmp
%TEMP%\6B.tmp
%TEMP%\70.tmp
%TEMP%\71.tmp
%TEMP%\6E.tmp
%TEMP%\6F.tmp
%TEMP%\64.tmp
%TEMP%\65.tmp
%TEMP%\62.tmp
%TEMP%\63.tmp
%TEMP%\68.tmp
%TEMP%\69.tmp
%TEMP%\66.tmp
%TEMP%\67.tmp
%TEMP%\7C.tmp
%TEMP%\7D.tmp
%TEMP%\7A.tmp
%TEMP%\7B.tmp
%TEMP%\80.tmp
%TEMP%\81.tmp
%TEMP%\7E.tmp
%TEMP%\7F.tmp
%TEMP%\74.tmp
%TEMP%\75.tmp
%TEMP%\72.tmp
%TEMP%\73.tmp
%TEMP%\78.tmp
%TEMP%\79.tmp
%TEMP%\76.tmp
%TEMP%\77.tmp
%TEMP%\4C.tmp
%TEMP%\4D.tmp
%TEMP%\4A.tmp
%TEMP%\4B.tmp
%TEMP%\50.tmp
%TEMP%\51.tmp
%TEMP%\4E.tmp
%TEMP%\4F.tmp
%TEMP%\44.tmp
%TEMP%\45.tmp
%TEMP%\42.tmp
%TEMP%\43.tmp
%TEMP%\48.tmp
%TEMP%\49.tmp
%TEMP%\46.tmp
%TEMP%\47.tmp
%TEMP%\5C.tmp
%TEMP%\5D.tmp
%TEMP%\5A.tmp
%TEMP%\5B.tmp
%TEMP%\60.tmp
%TEMP%\61.tmp
%TEMP%\5E.tmp
%TEMP%\5F.tmp
%TEMP%\54.tmp
%TEMP%\55.tmp
%TEMP%\52.tmp
%TEMP%\53.tmp
%TEMP%\58.tmp
%TEMP%\59.tmp
%TEMP%\56.tmp
%TEMP%\57.tmp

Deletes the following files:

%TEMP%\AC.tmp
%TEMP%\AD.tmp
%TEMP%\AA.tmp
%TEMP%\AB.tmp
%TEMP%\B0.tmp
%TEMP%\B1.tmp
%TEMP%\AE.tmp
%TEMP%\AF.tmp
%TEMP%\A4.tmp
%TEMP%\A5.tmp
%TEMP%\A2.tmp
%TEMP%\A3.tmp
%TEMP%\A8.tmp
%TEMP%\A9.tmp
%TEMP%\A6.tmp
%TEMP%\A7.tmp
%TEMP%\BC.tmp
%TEMP%\BD.tmp
%TEMP%\BA.tmp
%TEMP%\BB.tmp
%TEMP%\C0.tmp
%TEMP%\C1.tmp
%TEMP%\BE.tmp
%TEMP%\BF.tmp
%TEMP%\B4.tmp
%TEMP%\B5.tmp
%TEMP%\B2.tmp
%TEMP%\B3.tmp
%TEMP%\B8.tmp
%TEMP%\B9.tmp
%TEMP%\B6.tmp
%TEMP%\B7.tmp
%TEMP%\8C.tmp
%TEMP%\8D.tmp
%TEMP%\8A.tmp
%TEMP%\8B.tmp
%TEMP%\90.tmp
%TEMP%\91.tmp
%TEMP%\8E.tmp
%TEMP%\8F.tmp
%TEMP%\84.tmp
%TEMP%\85.tmp
%TEMP%\82.tmp
%TEMP%\83.tmp
%TEMP%\88.tmp
%TEMP%\89.tmp
%TEMP%\86.tmp
%TEMP%\87.tmp
%TEMP%\9C.tmp
%TEMP%\9D.tmp
%TEMP%\9A.tmp
%TEMP%\9B.tmp
%TEMP%\A0.tmp
%TEMP%\A1.tmp
%TEMP%\9E.tmp
%TEMP%\9F.tmp
%TEMP%\94.tmp
%TEMP%\95.tmp
%TEMP%\92.tmp
%TEMP%\93.tmp
%TEMP%\98.tmp
%TEMP%\99.tmp
%TEMP%\96.tmp
%TEMP%\97.tmp
%TEMP%\ED.tmp
%TEMP%\EE.tmp
%TEMP%\EB.tmp
%TEMP%\EC.tmp
%TEMP%\F1.tmp
%TEMP%\F2.tmp
%TEMP%\EF.tmp
%TEMP%\F0.tmp
%TEMP%\E5.tmp
%TEMP%\E6.tmp
%TEMP%\E3.tmp
%TEMP%\E4.tmp
%TEMP%\E9.tmp
%TEMP%\EA.tmp
%TEMP%\E7.tmp
%TEMP%\E8.tmp
%TEMP%\FD.tmp
%TEMP%\FE.tmp
%TEMP%\FB.tmp
%TEMP%\FC.tmp
%TEMP%\1F20.bi1
%TEMP%\1F1C.bi1
%TEMP%\FF.tmp
%TEMP%\100.tmp
%TEMP%\F5.tmp
%TEMP%\F6.tmp
%TEMP%\F3.tmp
%TEMP%\F4.tmp
%TEMP%\F9.tmp
%TEMP%\FA.tmp
%TEMP%\F7.tmp
%TEMP%\F8.tmp
%TEMP%\CD.tmp
%TEMP%\CE.tmp
%TEMP%\CB.tmp
%TEMP%\CC.tmp
%TEMP%\D1.tmp
%TEMP%\D2.tmp
%TEMP%\CF.tmp
%TEMP%\D0.tmp
%TEMP%\C4.tmp
%TEMP%\C5.tmp
%TEMP%\C2.tmp
%TEMP%\C3.tmp
%TEMP%\C8.tmp
%TEMP%\C9.tmp
%TEMP%\C6.tmp
%TEMP%\C7.tmp
%TEMP%\DD.tmp
%TEMP%\DE.tmp
%TEMP%\DB.tmp
%TEMP%\DC.tmp
%TEMP%\E1.tmp
%TEMP%\E2.tmp
%TEMP%\DF.tmp
%TEMP%\E0.tmp
%TEMP%\D5.tmp
%TEMP%\D6.tmp
%TEMP%\D3.tmp
%TEMP%\D4.tmp
%TEMP%\D9.tmp
%TEMP%\DA.tmp
%TEMP%\D7.tmp
%TEMP%\D8.tmp
%TEMP%\81.tmp
%TEMP%\2B.tmp
%TEMP%\2C.tmp
%TEMP%\29.tmp
%TEMP%\2A.tmp
%TEMP%\2F.tmp
%TEMP%\30.tmp
%TEMP%\2D.tmp
%TEMP%\2E.tmp
%TEMP%\23.tmp
%TEMP%\24.tmp
%TEMP%\21.tmp
%TEMP%\22.tmp
%TEMP%\27.tmp
%TEMP%\28.tmp
%TEMP%\25.tmp
%TEMP%\26.tmp
%TEMP%\3B.tmp
%TEMP%\3C.tmp
%TEMP%\39.tmp
%TEMP%\3A.tmp
%TEMP%\3F.tmp
%TEMP%\40.tmp
%TEMP%\3D.tmp
%TEMP%\3E.tmp
%TEMP%\33.tmp
%TEMP%\34.tmp
%TEMP%\31.tmp
%TEMP%\32.tmp
%TEMP%\37.tmp
%TEMP%\38.tmp
%TEMP%\35.tmp
%TEMP%\36.tmp
%TEMP%\B.tmp
%TEMP%\C.tmp
%TEMP%\9.tmp
%TEMP%\A.tmp
%TEMP%\F.tmp
%TEMP%\10.tmp
%TEMP%\D.tmp
%TEMP%\E.tmp
%TEMP%\3.tmp
%TEMP%\4.tmp
%TEMP%\1.tmp
%TEMP%\2.tmp
%TEMP%\7.tmp
%TEMP%\8.tmp
%TEMP%\5.tmp
%TEMP%\6.tmp
%TEMP%\1B.tmp
%TEMP%\1C.tmp
%TEMP%\19.tmp
%TEMP%\1A.tmp
%TEMP%\1F.tmp
%TEMP%\20.tmp
%TEMP%\1D.tmp
%TEMP%\1E.tmp
%TEMP%\13.tmp
%TEMP%\14.tmp
%TEMP%\11.tmp
%TEMP%\12.tmp
%TEMP%\17.tmp
%TEMP%\18.tmp
%TEMP%\15.tmp
%TEMP%\16.tmp
%TEMP%\6B.tmp
%TEMP%\6C.tmp
%TEMP%\69.tmp
%TEMP%\6A.tmp
%TEMP%\6F.tmp
%TEMP%\70.tmp
%TEMP%\6D.tmp
%TEMP%\6E.tmp
%TEMP%\63.tmp
%TEMP%\64.tmp
%TEMP%\61.tmp
%TEMP%\62.tmp
%TEMP%\67.tmp
%TEMP%\68.tmp
%TEMP%\65.tmp
%TEMP%\66.tmp
%TEMP%\7B.tmp
%TEMP%\7C.tmp
%TEMP%\79.tmp
%TEMP%\7A.tmp
%TEMP%\7F.tmp
%TEMP%\80.tmp
%TEMP%\7D.tmp
%TEMP%\7E.tmp
%TEMP%\73.tmp
%TEMP%\74.tmp
%TEMP%\71.tmp
%TEMP%\72.tmp
%TEMP%\77.tmp
%TEMP%\78.tmp
%TEMP%\75.tmp
%TEMP%\76.tmp
%TEMP%\4B.tmp
%TEMP%\4C.tmp
%TEMP%\49.tmp
%TEMP%\4A.tmp
%TEMP%\4F.tmp
%TEMP%\50.tmp
%TEMP%\4D.tmp
%TEMP%\4E.tmp
%TEMP%\43.tmp
%TEMP%\44.tmp
%TEMP%\41.tmp
%TEMP%\42.tmp
%TEMP%\47.tmp
%TEMP%\48.tmp
%TEMP%\45.tmp
%TEMP%\46.tmp
%TEMP%\5B.tmp
%TEMP%\5C.tmp
%TEMP%\59.tmp
%TEMP%\5A.tmp
%TEMP%\5F.tmp
%TEMP%\60.tmp
%TEMP%\5D.tmp
%TEMP%\5E.tmp
%TEMP%\53.tmp
%TEMP%\54.tmp
%TEMP%\51.tmp
%TEMP%\52.tmp
%TEMP%\57.tmp
%TEMP%\58.tmp
%TEMP%\55.tmp
%TEMP%\56.tmp

Deletes itself.

Network activity:

Connects to:

'po#####emindstates.com':80
'ni##an.at':80
're#####r1.opendns.com':53
'cl###style.it':80
'di###axis.st':80
'dr#####robajakubec.eu':80
'de#######olani.altervista.org':80

TCP:

HTTP GET requests:

http://po#####emindstates.com/html/d4sto.zip
http://ni##an.at/jvassets/zarch/x.rar
http://ni##an.at/assets/images/i1lbejNLgV/07IheBr8UXtIiXDkc/400izoZNPUVO/NKAQd80QUGc/OvokaURB2iRNQy/fWT4aC2s0w4_2Fi4a8t1I/oNUGU0dESXUjeLMq/lB3QuMzwCiDsCtq/5R5i0MXV73GZrkLdXN/f_2F4Hvnv/pdi3vyCQ6...
http://cl###style.it/Cofra/Mini/gt/Nhssudf.bin
http://di###axis.st/log/asdfg.vs
http://dr#####robajakubec.eu/js/rts.bin
http://de#######olani.altervista.org/ragazzi/gtd.tif

UDP:

DNS ASK ni##an.at
DNS ASK po#####emindstates.com
DNS ASK mo##lik.at
DNS ASK re#####r1.opendns.com
DNS ASK dr#####robajakubec.eu
DNS ASK di###axis.st
DNS ASK cl###style.it
DNS ASK de#######olani.altervista.org

Miscellaneous:

Searches for the following windows:

ClassName: 'ProgMan' WindowName: ''

TECHNOLOGIES

TERMINOLOGIE

COURS ET EDU

MYTHES

Technical Information

Recommandations pour le traitement

Free trial