Trojan.DownLoader26.63072

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'InstallPathing' = '%WINDIR%\Windows Driver Foundation Update Check (WDF).exe'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Driver Foundation Update Check (WDF)' = '%WINDIR%\Microsoft Community Version.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\_ir_sf_temp_0\irsetup.exe
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe.manifest.__tmp__
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe.__tmp__
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\Manifests\ComS.exe_0x212e3c1d7e7e73223237e53ac17e9bbb.1.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\ComS.exe\ComS.exe.manifest.__tmp__
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\xsandbox.bin.__tmp__
%WINDIR%\criorr.exe
%APPDATA%\ptt1782937022\Infomation.txt
%WINDIR%\Windows Driver Foundation Update Check (WDF).exe
%APPDATA%\Microsoft Community Version.exe
%TEMP%\_ir_sf_temp_0\Bitfinex_Icon41.ico
%TEMP%\_ir_sf_temp_0\IRIMG1.BMP
%TEMP%\_ir_sf_temp_0\IRIMG1.JPG
%TEMP%\_ir_sf_temp_0\irsetup.dat
%TEMP%\_ir_sf_temp_0\lua5.1.dll
%APPDATA%\Windows Corporation Driver Check.exe
%APPDATA%\zp1782937022.zip

Удаляет следующие файлы:

%TEMP%\_ir_sf_temp_0\irsetup.dat
%TEMP%\_ir_sf_temp_0\IRIMG1.JPG
%TEMP%\_ir_sf_temp_0\IRIMG1.BMP
%TEMP%\_ir_sf_temp_0\Bitfinex_Icon41.ico
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe.manifest
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\xsandbox.bin
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\ComS.exe\ComS.exe.manifest
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\Manifests\ComS.exe_0x212e3c1d7e7e73223237e53ac17e9bbb.1.manifest
%TEMP%\_ir_sf_temp_0\irsetup.exe
%TEMP%\_ir_sf_temp_0\lua5.1.dll
%APPDATA%\ptt1782937022\Infomation.txt
%APPDATA%\zp1782937022.zip

Перемещает следующие файлы:

<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\xsandbox.bin.__tmp__ в <LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\xsandbox.bin
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\ComS.exe\ComS.exe.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\ComS.exe\ComS.exe.manifest
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\Manifests\ComS.exe_0x212e3c1d7e7e73223237e53ac17e9bbb.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\Manifests\ComS.exe_0x212e3c1d7e7e73223237e53ac17e9bbb.1.manifest
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe.__tmp__ в <LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe.manifest.__tmp__ в <LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe.manifest

Подменяет следующие файлы:

<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\xsandbox.bin.__tmp__
<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\xsandbox.bin
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\ComS.exe\ComS.exe.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\ComS.exe\ComS.exe.manifest
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\Manifests\ComS.exe_0x212e3c1d7e7e73223237e53ac17e9bbb.1.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x618BDE6E830D7D47\sxs\Manifests\ComS.exe_0x212e3c1d7e7e73223237e53ac17e9bbb.1.manifest

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP POST:

UDP:

Другое:

Ищет следующие окна:

Создает и запускает на исполнение:

'%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1806370 \"__IRAFN:C:\\bf32d3b0\\<Имя файла>.exe\" \"__IRCT:3\" \"__IRTSS:0\" \"__IRSID:S-1-5-21-2052111302-484763869-725345543-1003\"
'%APPDATA%\Windows Corporation Driver Check.exe' and Settings\\%USERNAME%\\Application Data\\Windows Corporation Driver Check.exe\"
'<LS_APPDATA>\SwDf\Cert\NT Microsoft & System\2.4.1\local\stubexe\0x9A4AC99FF7A625AB\1.exe' and Settings\\%USERNAME%\\Application Data\\1.exe\"