Trojan.Crossrider1.61033

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] ' ISSetupPrerequisistes' = '"<Полный путь к файлу>"'

Подменяет следующие исполняемые системные файлы:

<SYSTEM32>\msxml6.dll

Заражает следующие исполняемые файлы:

<SYSTEM32>\msxml6.dll

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\{C5C086E2-AC8A-412D-B0F0-5112DB9EB2EF}\msxml6-KB973686-enu-x86.exe' /qn
'%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\<Имя файла>.exe' /q"<Полный путь к файлу>" /tempdisk1folder"%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}" /IS_temp

Запускает на исполнение:

'<SYSTEM32>\msiexec.exe' /i "<LS_APPDATA>\Downloaded Installations\{89258C8A-CD6C-4089-AEB4-FAFD91601680}\FireDaemon-Pro-x86-4.0.42-beta.msi" SETUPEXEDIR="<Текущая директория>" SETUPEXENAME="<Имя файла>.exe"
'<SYSTEM32>\msiexec.exe' -Embedding B1995385290EA4C64E155FC18C74B2E1 C
'<SYSTEM32>\msiexec.exe' -Embedding 897DDCCED062865FE9F8D7FCAA1C3491
'<SYSTEM32>\msiexec.exe' /i c:\4be9f320fca738911c644b13\msxml6.msi /l*v %WINDIR%\msxml6-KB973686-enu-x86.LOG /qn
'<SYSTEM32>\msiexec.exe' /V

Изменения в файловой системе:

Создает следующие файлы:

C:\Config.Msi\20945.rbs
%WINDIR%\Installer\MSID.tmp
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\FireDaemon-Pro-x86-4.0.42-beta.msi
%WINDIR%\Installer\$PatchCache$\Managed\BD6219EF48F5A594BB64C327F4C1D280\CacheSize.txt
%WINDIR%\Installer\20944.ipi
%WINDIR%\Installer\{56EA8BC0-3751-4B93-BC9D-6651CC36E5AA}\ARPIco
%WINDIR%\Installer\20942.msi
%WINDIR%\Installer\MSIC.tmp
%WINDIR%\Installer\MSIB.tmp
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\ISRT.dll
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\IsConfig.ini
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\String1033.txt
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\Setup.inx
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\ISBEWX64.exe
%TEMP%\{3E8BEBED-5BF9-4DDC-9EFD-2D4D006EA3BD}\IsConfig.ini
<LS_APPDATA>\Downloaded Installations\{89258C8A-CD6C-4089-AEB4-FAFD91601680}\FireDaemon-Pro-x86-4.0.42-beta.msi
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\ISBEWI64.exe
%TEMP%\{0AC7E8B9-00EB-4C47-9189-64D84DEF3897}\_isres_0x0409.dll
%WINDIR%\Installer\MSI9.tmp
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\{C5C086E2-AC8A-412D-B0F0-5112DB9EB2EF}\msxml6-KB973686-enu-x86.exe
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\MSXML 6.0 SP2 (x86).prq
C:\4be9f320fca738911c644b13\$shtdwn$.req
C:\4be9f320fca738911c644b13\msxml6.msi
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\Microsoft Visual C++ 2017 Redistributable Package (x86) [tolerate any].prq
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\_ISMSIDEL.INI
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\<Имя файла>.exe
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\0x0409.ini
%TEMP%\{AEFA5020-F35D-43AE-B032-5C0FE7072302}\Setup.INI
C:\Config.Msi\20940.rbs
%WINDIR%\Installer\MSI7.tmp
%ProgramFiles%\MSXML 6.0\EULA\License_MSXML6_ENU.txt
%WINDIR%\Installer\$PatchCache$\Managed\BD6219EF48F5A594BB64C327F4C1D280\6.0.3888\msxml6.dll.86F857F6_A743_463D_B2FE_98CB5F727E09
%WINDIR%\Installer\MSI6.tmp
%WINDIR%\Installer\2093d.msi
%WINDIR%\msxml6-KB973686-enu-x86.LOG
%WINDIR%\Installer\2093f.ipi
%WINDIR%\Installer\MSI5.tmp

Присваивает атрибут 'скрытый' для следующих файлов:

C:\Config.Msi\20947.rbf
C:\Config.Msi\20946.rbf

Удаляет следующие файлы:

C:\Config.Msi\20945.rbs
%WINDIR%\Installer\2093d.msi
%WINDIR%\Installer\68b62.msi
%WINDIR%\Installer\MSID.tmp
C:\Config.Msi\20946.rbf
C:\Config.Msi\20947.rbf
%WINDIR%\Installer\{FE9126DB-5F84-495A-BB46-3C724F1C2D08}\ARPIco
%TEMP%\{3E8BEBED-5BF9-4DDC-9EFD-2D4D006EA3BD}\IsConfig.ini
%TEMP%\iss11.tmp
%TEMP%\MSI12.tmp
%WINDIR%\Installer\20944.ipi
C:\4be9f320fca738911c644b13\msxml6.msi
%TEMP%\~10.tmp
%TEMP%\~4.tmp
%WINDIR%\Installer\MSI5.tmp
%WINDIR%\Installer\MSI6.tmp
%TEMP%\~1.tmp
%TEMP%\~2.tmp
%TEMP%\~3.tmp
%WINDIR%\Installer\MSI9.tmp
%WINDIR%\Installer\MSIB.tmp
%WINDIR%\Installer\MSIC.tmp
%WINDIR%\Installer\2093f.ipi
%WINDIR%\Installer\MSI7.tmp
C:\Config.Msi\20941.rbf
C:\Config.Msi\20940.rbs

Перемещает следующие системные файлы:

<SYSTEM32>\msxml6.dll в C:\Config.Msi\20941.rbf

Перемещает следующие файлы:

%WINDIR%\Installer\$PatchCache$\Managed\BD6219EF48F5A594BB64C327F4C1D280\CacheSize.txt в C:\Config.Msi\20947.rbf
%WINDIR%\Installer\$PatchCache$\Managed\BD6219EF48F5A594BB64C327F4C1D280\6.0.3888\msxml6.dll.86F857F6_A743_463D_B2FE_98CB5F727E09 в C:\Config.Msi\20946.rbf

Сетевая активность:

Подключается к: