Trojan.DownLoader23.34230

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\Nexthink Service] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\Nexthink Service] 'ImagePath' = '<SYSTEM32>\nxtsvc.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\nxtdrv] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\nxtdrv] 'ImagePath' = 'system32\DRIVERS\nxtdrv.sys'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\msiexec.exe' -Embedding 7638A55149C785F1DD51BB27B720571B
'<SYSTEM32>\msiexec.exe' -Embedding FC0E85A7C4523120D0B68F3A24BF4453 M Global\MSI0000
'<SYSTEM32>\msiexec.exe' -i "%TEMP%\NEXThink_Collector.msi" /quiet DRV_IP=172.19.67.89 DRV_PORT=999 DRV_TAG=0 DRV_FORCE_SERVER=0 DRV_ROAMING_PROFILE_FIX=0 DRV_FORCE_LOADING=0 CPL_INSTALL=0 CFG_INSTALL=1 DRV_DWEF=0 REBO...
'<SYSTEM32>\msiexec.exe' /V

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\DRVSTORE\nxtdrv_4BD27D43DF9352A5D5AAF9E62A504BE3F2F984B6\nxtdrv.cat
<SYSTEM32>\DRVSTORE\nxtdrv_4BD27D43DF9352A5D5AAF9E62A504BE3F2F984B6\nxtdrv.inf
<SYSTEM32>\DRVSTORE\nxtdrv_4BD27D43DF9352A5D5AAF9E62A504BE3F2F984B6\nxtdrv.sys
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%WINDIR%\Installer\MSI17.tmp
<SYSTEM32>\Nexthink Driver\c2a646d1-5e91-408b-995a-e10b5429cb12\nxtdrv.cat
<SYSTEM32>\nxtdll.dll
<SYSTEM32>\Nexthink Driver\c2a646d1-5e91-408b-995a-e10b5429cb12\nxtdrv.inf
<SYSTEM32>\nxtsvc.exe
<SYSTEM32>\Nexthink Driver\c2a646d1-5e91-408b-995a-e10b5429cb12\nxtdrv.sys
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%WINDIR%\Installer\MSI1D.tmp
%WINDIR%\Installer\{C2A646D1-5E91-408B-995A-E10B5429CB12}\ProductImage
%WINDIR%\Installer\MSI1E.tmp
%WINDIR%\Installer\MSI20.tmp
%TEMP%\~DFE6AD.tmp
%WINDIR%\Installer\1f4ee.msi
%TEMP%\Cab1A.tmp
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%WINDIR%\inf\oem3.inf
<DRIVERS>\SET1C.tmp
%WINDIR%\inf\oem3.PNF
%WINDIR%\nxtcfg.exe
%TEMP%\Cab3.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab5.tmp
%WINDIR%\Installer\MSI8.tmp
%WINDIR%\Installer\MSI7.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%WINDIR%\Installer\1f4ea.msi
%TEMP%\NEXThink_Collector.msi
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%WINDIR%\Installer\1f4ec.ipi
%TEMP%\CabF.tmp
%WINDIR%\Installer\MSIE.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab13.tmp
%WINDIR%\Installer\MSID.tmp
%WINDIR%\Installer\MSI9.tmp
%TEMP%\~DF25B3.tmp
%WINDIR%\Installer\MSIA.tmp
%WINDIR%\Installer\MSIC.tmp
C:\Config.Msi\1f4ed.rbs

Удаляет следующие файлы:

%WINDIR%\Installer\MSI17.tmp
%WINDIR%\Installer\MSI1D.tmp
%TEMP%\Cab1A.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab15.tmp
%WINDIR%\Installer\MSI1E.tmp
%WINDIR%\Installer\1f4ea.msi
%WINDIR%\Installer\1f4ec.ipi
%WINDIR%\Installer\MSI20.tmp
%WINDIR%\Installer\MSI9.tmp
C:\Config.Msi\1f4ed.rbs
%WINDIR%\Installer\MSI7.tmp
%WINDIR%\Installer\MSI8.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp
%WINDIR%\Installer\MSIA.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab11.tmp
%WINDIR%\Installer\MSIE.tmp
%WINDIR%\Installer\MSIC.tmp
%WINDIR%\Installer\MSID.tmp

Перемещает следующие файлы:

<DRIVERS>\SET1C.tmp в <DRIVERS>\nxtdrv.sys

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
http://11#.#11.111.1/wpad.dat via wp#d

UDP: