Trojan.DownLoader30.25381

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%WINDIR%\tasks\pptassistantupdatetask_user.job
<SYSTEM32>\tasks\pptassistantupdatetask_user
%WINDIR%\tasks\pptassistantnotifytask_user.job
<SYSTEM32>\tasks\pptassistantnotifytask_user

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsh55c4.tmp\v6svc.dll
%TEMP%\pptassist\~1058d0\meihua.exe
%TEMP%\pptassist\~1058d0\notify.exe
%TEMP%\pptassist\~1058d0\utility\uninst.exe
%TEMP%\pptassist\~1058d0\updateself.exe
%TEMP%\pptassist\~1058d0\pptassist.dll
%TEMP%\pptassist\~1058d0\pptassist64.dll
<LS_APPDATA>\pptassist\assistdownloader.exe
<LS_APPDATA>\pptassist\assistupdate.exe
<LS_APPDATA>\pptassist\cfgs\feature.dat
<LS_APPDATA>\pptassist\cfgs\setup.cfg
<LS_APPDATA>\pptassist\meihua.exe
<LS_APPDATA>\pptassist\meihua2003.pps
<LS_APPDATA>\pptassist\meihua2007.ppsx
<LS_APPDATA>\pptassist\meihua2010.ppsx
<LS_APPDATA>\pptassist\meihua2013.ppsx
<LS_APPDATA>\pptassist\meihuappt.pps
<LS_APPDATA>\pptassist\notify.exe
<LS_APPDATA>\pptassist\pptassist.dll
<LS_APPDATA>\pptassist\pptassist64.dll
<LS_APPDATA>\pptassist\updateself.exe
<LS_APPDATA>\pptassist\utility\uninst.exe
%APPDATA%\microsoft\windows\start menu\programs\ppt美化大师\ppt美化大师.lnk
%APPDATA%\microsoft\windows\start menu\programs\ppt美化大师\卸载.lnk
%TEMP%\pptassist\~1058d0\assistupdate.exe
%APPDATA%\pptassist\update\log\notify_2019_09_30.log
%TEMP%\pptassist\~1058d0\assistdownloader.exe
%TEMP%\pptassist\~1058d0\meihua2010.ppsx
%TEMP%\nsh55c4.tmp\system.dll
%PROGRAMDATA%\kingsoft\20190930_24252\<Имя файла>.exe
%PROGRAMDATA%\kingsoft\20190930_24252\oem.ini
%TEMP%\pptassist\~105872\install_res\2.jpg
%TEMP%\pptassist\~105872\install_res\1.png
%TEMP%\pptassist\~105872\install_res\10.png
%TEMP%\pptassist\~105872\install_res\100.png
%TEMP%\pptassist\~105872\install_res\101.png
%TEMP%\pptassist\~105872\install_res\102.png
%TEMP%\pptassist\~105872\install_res\103.png
%TEMP%\pptassist\~105872\install_res\104.png
%TEMP%\pptassist\~105872\install_res\20.png
%TEMP%\pptassist\~105872\install_res\3.png
%TEMP%\pptassist\~105872\install_res\30.png
%TEMP%\pptassist\~105872\install_res\cgpb_bg.png
%TEMP%\pptassist\~105872\install_res\cgpb_fg.png
%TEMP%\pptassist\~105872\product.xml
%TEMP%\pptassist\~105872\setup.xml
%TEMP%\pptassist\~1058d0\meihua2003.pps
%TEMP%\pptassist\~1058d0\meihuappt.pps
%TEMP%\pptassist\~1058d0\cfgs\setup.cfg
%TEMP%\pptassist\~1058d0\cfgs\feature.dat
%TEMP%\pptassist\~1058d0\meihua2007.ppsx
%TEMP%\pptassist\~1058d0\meihua2013.ppsx
%TEMP%\nsh55c4.tmp\findprocdll.dll

Удаляет следующие файлы

%TEMP%\pptassist\~1058d0\assistdownloader.exe
%TEMP%\nsh55c4.tmp\findprocdll.dll
%PROGRAMDATA%\kingsoft\20190930_24252\<Имя файла>.exe
%PROGRAMDATA%\kingsoft\20190930_24252\oem.ini
%TEMP%\pptassist\~105872\product.xml
%TEMP%\pptassist\~105872\install_res\cgpb_fg.png
%TEMP%\pptassist\~105872\install_res\cgpb_bg.png
%TEMP%\pptassist\~1058d0\utility\uninst.exe
%TEMP%\pptassist\~1058d0\updateself.exe
%TEMP%\pptassist\~1058d0\pptassist64.dll
%TEMP%\nsh55c4.tmp\system.dll
%TEMP%\pptassist\~1058d0\pptassist.dll
%TEMP%\pptassist\~1058d0\meihuappt.pps
%TEMP%\pptassist\~1058d0\meihua2013.ppsx
%TEMP%\pptassist\~1058d0\meihua2010.ppsx
%TEMP%\pptassist\~1058d0\meihua2007.ppsx
%TEMP%\pptassist\~1058d0\meihua2003.pps
%TEMP%\pptassist\~1058d0\meihua.exe
%TEMP%\pptassist\~1058d0\cfgs\setup.cfg
%TEMP%\pptassist\~1058d0\cfgs\feature.dat
%TEMP%\pptassist\~1058d0\assistupdate.exe
%TEMP%\pptassist\~1058d0\notify.exe
%TEMP%\nsh55c4.tmp\v6svc.dll

Сетевая активность

UDP

DNS ASK sp###.wps.cn
DNS ASK no####.meihua.docer.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'pptassistsetup_message'
ClassName: '' WindowName: 'PPT美化大师安装向导'

Создает и запускает на исполнение

'%PROGRAMDATA%\kingsoft\20190930_24252\<Имя файла>.exe'
'<LS_APPDATA>\pptassist\assistupdate.exe' -createtask
'<LS_APPDATA>\pptassist\notify.exe' /from:ksostart
'%WINDIR%\syswow64\regsvr32.exe' /s "<LS_APPDATA>\PPTAssist\pptassist.dll"' (со скрытым окном)
'%WINDIR%\syswow64\regsvr32.exe' /s "<LS_APPDATA>\PPTAssist\pptassist64.dll"' (со скрытым окном)
'<LS_APPDATA>\pptassist\assistupdate.exe' -createtask' (со скрытым окном)
'<LS_APPDATA>\pptassist\notify.exe' /from:ksostart' (со скрытым окном)

Запускает на исполнение