Trojan.DownLoader29.45555

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'%TEMP%\nircmd\nircmd.exe' savescreenshot "%TEMP%\rad37149.tmp"
'%TEMP%\nircmd\nircmd.exe' savescreenshot "%TEMP%\radC4F23.tmp"
'%TEMP%\nircmd\nircmd.exe' savescreenshot "%TEMP%\rad54BC8.tmp"

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rad6c459.tmp
%PROGRAMDATA%\updater.js
%PROGRAMDATA%\microsoftsecuritychecker\securitycheck.js
%TEMP%\nircmd.zip
%TEMP%\radd4015.tmp
%TEMP%\nircmd\nircmd.exe
%TEMP%\nircmd\nircmdc.exe
%TEMP%\nircmd\nircmd.chm
%TEMP%\rad37149.tmp

Удаляет следующие файлы

%TEMP%\rad6c459.tmp
%TEMP%\radd4015.tmp
%TEMP%\nircmd.zip
%TEMP%\rad37149.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://ku###.rabsodi.com/__utm.gif?v=############################################################################################################################################################...
http://ku###.rabsodi.com/loaders/2019-03-20_023807.js
http://ku###.rabsodi.com/__utm.gif?v=###########################################################################################################################################################
http://ku###.rabsodi.com/__utm.gif?v=####################################################################################################################################################
http://ku###.rabsodi.com/__utm.gif?v=#####################################################################################################################################################
http://ku###.rabsodi.com/__utm.gif?v=##########################################################################################################################################################
http://ku###.rabsodi.com/__utm.gif?v=################################################################################################################################################
http://ku###.rabsodi.com/__utm.gif?v=############################################################################################################################################
http://ku###.rabsodi.com/tools/nircmd.zip
http://li####.kinthat.com/__utm.gif?v=#######################################################################################################################################
http://st####.sofort.space/__utm.gif?v=################################################################################################################################################

Запросы HTTP POST

http://li####.kinthat.com/__utm.gif?v=#############################################################################################################
http://st####.sofort.space/__utm.gif?v=#############################################################################################################

UDP

DNS ASK li####.kinthat.com
DNS ASK ku###.rabsodi.com
DNS ASK st####.sofort.space

Другое

Создает и запускает на исполнение

'<SYSTEM32>\wscript.exe' \ProgramData\updater.js' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /u /c "wmic logicaldisk get deviceid,volumename,caption,description,size > "%TEMP%\radD4015.tmp""' (со скрытым окном)
'%TEMP%\nircmd\nircmd.exe' savescreenshot "%TEMP%\rad37149.tmp"' (со скрытым окном)
'%TEMP%\nircmd\nircmd.exe' savescreenshot "%TEMP%\radC4F23.tmp"' (со скрытым окном)
'%TEMP%\nircmd\nircmd.exe' savescreenshot "%TEMP%\rad54BC8.tmp"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\wscript.exe' \ProgramData\updater.js
'<SYSTEM32>\cmd.exe' /u /c "wmic logicaldisk get deviceid,volumename,caption,description,size > "%TEMP%\radD4015.tmp""
'<SYSTEM32>\wbem\wmic.exe' logicaldisk get deviceid,volumename,caption,description,size