Trojan.DownLoader29.50851

Техническая информация

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '127.0.0.1'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonZoneCrossing' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPostRedirect' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonBadCertRecving' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPost' = '{00,00,00,00}'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1601' = '00000000'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\virtual\sxs\manifests\cafw.exe_0xb06cc74f15db93cc88de6f9a82de2efe.1.manifest
%TEMP%\csc3.tmp
%TEMP%\d2jwuovh.out
%TEMP%\d2jwuovh.cmdline
%TEMP%\d2jwuovh.0.cs
%TEMP%\smsft2zs.dll
%TEMP%\res2.tmp
%TEMP%\res4.tmp
%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\cvtres.exe
%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\csc.exe
%TEMP%\smsft2zs.out
%TEMP%\smsft2zs.cmdline
%TEMP%\smsft2zs.0.cs
%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\virtual\sxs\myapplication.app@1.0.0.0\myapplication.app@1.0.0.0.manifest
%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\virtual\sxs\myapplication.app@1.0.0.0\myapplication.app.manifest
%TEMP%\csc1.tmp
%TEMP%\d2jwuovh.dll

Удаляет следующие файлы

%TEMP%\res2.tmp
%TEMP%\csc1.tmp
%TEMP%\smsft2zs.out
%TEMP%\smsft2zs.0.cs
%TEMP%\smsft2zs.dll
%TEMP%\smsft2zs.cmdline
%TEMP%\res4.tmp
%TEMP%\csc3.tmp
%TEMP%\d2jwuovh.0.cs
%TEMP%\d2jwuovh.cmdline
%TEMP%\d2jwuovh.out
%TEMP%\d2jwuovh.dll

Сетевая активность

Подключается к

'94.##9.66.191':80
'21#.#3.4.214':8080
'21#.#3.4.130':80
'94.##9.77.62':80
'21#.#3.4.228':80
'17#.#36.39.25':80
'17#.#36.39.47':80

UDP

DNS ASK en.###ipedia.org
'94.##9.77.62':8752
'94.##9.66.191':8752
'83.##2.48.27':8752
'20#.#4.240.76':8752
'91.##4.44.122':8752

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\smsft2zs.cmdline"
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\CSC1.tmp"
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\d2jwuovh.cmdline"
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\CSC3.tmp"
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\smsft2zs.cmdline"' (со скрытым окном)
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\CSC1.tmp"' (со скрытым окном)
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\d2jwuovh.cmdline"' (со скрытым окном)
'%TEMP%\xenocode\sandbox\cladgenius\1.0.0.0\native\stubexe\8.0.1135\@windir@\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\CSC3.tmp"' (со скрытым окном)

Запускает на исполнение