Trojan.DownLoader11.24951

Техническая информация

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\svchost.exe' -k HTTPFilter

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\hvgaoykn.0.cs
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\modified\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\Statistics.txt
%TEMP%\hvgaoykn.cmdline
%TEMP%\CSC9.tmp
%TEMP%\hvgaoykn.out
%TEMP%\CSC7.tmp
%TEMP%\q1g5vkgr.out
%TEMP%\RES8.tmp
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\Statistics.txt.__meta__.__tmp__
%TEMP%\q1g5vkgr.dll
%TEMP%\my3staxu.out
%TEMP%\my3staxu.cmdline
%TEMP%\CSCB.tmp
%TEMP%\my3staxu.dll
%TEMP%\RESC.tmp
%TEMP%\hvgaoykn.dll
%TEMP%\RESA.tmp
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@DOCUMENTS@\Freemake\FreemakeVideoDownloader\Persistent\DownloaderPersistentList.xml.__meta__.__tmp__
%TEMP%\my3staxu.0.cs
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\modified\@DOCUMENTS@\Freemake\FreemakeVideoDownloader\Persistent\DownloaderPersistentList.xml
%TEMP%\q1g5vkgr.cmdline
%TEMP%\Cab3.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab5.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C8E7EC0C85688F4738F3BE49B104BA67
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C8E7EC0C85688F4738F3BE49B104BA67
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\xsandbox.bin.__tmp__
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\modified\@PROGRAMFILESX86@\Freemake\Freemake Video Downloader\trace.log
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@PROGRAMFILESX86@\Freemake\Freemake Video Downloader\trace.log.__meta__.__tmp__
<SYSTEM32>\d3d9caps.tmp
%TEMP%\q1g5vkgr.0.cs
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@SYSWOW64@\d3d9caps.dat.__meta__.__tmp__
%APPDATA%\Microsoft\CryptnetUrlCache\Content\8A9510437CB4EEB09F4B3AC2BC980E19
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8A9510437CB4EEB09F4B3AC2BC980E19
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\SummaryLog.txt.__meta__.__tmp__
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\modified\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\2892.txt
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\modified\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\SummaryLog.txt

Удаляет следующие файлы:

%TEMP%\hvgaoykn.dll
%TEMP%\hvgaoykn.0.cs
%TEMP%\hvgaoykn.cmdline
%TEMP%\CSC9.tmp
%TEMP%\hvgaoykn.out
%TEMP%\RESC.tmp
%TEMP%\my3staxu.dll
%TEMP%\my3staxu.0.cs
%TEMP%\my3staxu.out
%TEMP%\CSCB.tmp
%TEMP%\my3staxu.cmdline
%TEMP%\RESA.tmp
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@SYSWOW64@\d3d9caps.dat.__meta__
<SYSTEM32>\d3d9caps.dat
%TEMP%\Cab5.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp
%TEMP%\RES8.tmp
%TEMP%\q1g5vkgr.cmdline
%TEMP%\q1g5vkgr.out
%TEMP%\q1g5vkgr.0.cs
%TEMP%\CSC7.tmp
%TEMP%\q1g5vkgr.dll

Перемещает следующие файлы:

<SYSTEM32>\d3d9caps.tmp в <SYSTEM32>\d3d9caps.dat
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\Statistics.txt.__meta__.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\Statistics.txt.__meta__
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@DOCUMENTS@\Freemake\FreemakeVideoDownloader\Persistent\DownloaderPersistentList.xml.__meta__.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@DOCUMENTS@\Freemake\FreemakeVideoDownloader\Persistent\DownloaderPersistentList.xml.__meta__
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@SYSWOW64@\d3d9caps.dat.__meta__.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@SYSWOW64@\d3d9caps.dat.__meta__
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\xsandbox.bin.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\xsandbox.bin
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\SummaryLog.txt.__meta__.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@APPDATACOMMON@\Freemake\FreemakeVideoDownloader\SummaryLog.txt.__meta__
<LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@PROGRAMFILESX86@\Freemake\Freemake Video Downloader\trace.log.__meta__.__tmp__ в <LS_APPDATA>\Spoon\Sandbox\Freemake Video Downloader\2.0.1.0\roaming\meta\@PROGRAMFILESX86@\Freemake\Freemake Video Downloader\trace.log.__meta__

Сетевая активность:

Подключается к:

'cr#.##obalsign.com':80
'54.##5.78.193':80
'www.fr###ake.com':80
'st###.spoon.net':443
'www.download.windowsupdate.com':80
'cr#.##obalsign.net':80

TCP:

Запросы HTTP GET:

cr#.##obalsign.com/gs/gscodesigng2.crl
54.##5.78.193/geoip.php
www.fr###ake.com/cross_adv/AdvVersion
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
cr#.##obalsign.net/root.crl

Запросы HTTP POST: