Trojan.DownLoader30.27054

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Snetchball' = '%APPDATA%\Snetchball\Snetchball.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nss5def.tmp
%APPDATA%\snetchball\locales\ml.pak
%APPDATA%\snetchball\locales\lv.pak
%APPDATA%\snetchball\locales\lt.pak
%APPDATA%\snetchball\locales\ko.pak
%APPDATA%\snetchball\locales\kn.pak
%APPDATA%\snetchball\locales\ja.pak
%APPDATA%\snetchball\locales\it.pak
%APPDATA%\snetchball\locales\id.pak
%APPDATA%\snetchball\locales\hr.pak
%APPDATA%\snetchball\locales\ms.pak
%APPDATA%\snetchball\locales\hi.pak
%APPDATA%\snetchball\locales\he.pak
%APPDATA%\snetchball\locales\gu.pak
%APPDATA%\snetchball\locales\fr.pak
%APPDATA%\snetchball\locales\fil.pak
%APPDATA%\snetchball\locales\fi.pak
%APPDATA%\snetchball\locales\fa.pak
%APPDATA%\snetchball\locales\hu.pak
%APPDATA%\snetchball\locales\am.pak
%APPDATA%\snetchball\locales\nb.pak
%APPDATA%\snetchball\locales\zh-tw.pak
%APPDATA%\snetchball\locales\zh-cn.pak
%APPDATA%\snetchball\locales\vi.pak
%APPDATA%\snetchball\locales\uk.pak
%APPDATA%\snetchball\locales\tr.pak
%APPDATA%\snetchball\locales\th.pak
%APPDATA%\snetchball\locales\te.pak
%APPDATA%\snetchball\locales\ta.pak
%APPDATA%\snetchball\locales\et.pak
%APPDATA%\snetchball\locales\mr.pak
%APPDATA%\snetchball\locales\sr.pak
%APPDATA%\snetchball\locales\sl.pak
%APPDATA%\snetchball\locales\sk.pak
%APPDATA%\snetchball\locales\ru.pak
%APPDATA%\snetchball\locales\ro.pak
%APPDATA%\snetchball\locales\pt-pt.pak
%APPDATA%\snetchball\locales\pt-br.pak
%APPDATA%\snetchball\locales\pl.pak
%APPDATA%\snetchball\locales\sv.pak
%APPDATA%\snetchball\locales\nl.pak
%APPDATA%\snetchball\locales\es.pak
%APPDATA%\snetchball\locales\es-419.pak
%APPDATA%\snetchball\locales\en-us.pak
%APPDATA%\snetchball\snetchball.exe
%APPDATA%\snetchball\d3dcompiler_43.dll
%APPDATA%\snetchball\chrome_elf.dll
%APPDATA%\snetchball\cef_extensions.pak
%APPDATA%\snetchball\cef_200_percent.pak
%APPDATA%\snetchball\cef_100_percent.pak
%APPDATA%\snetchball\cef.pak
%APPDATA%\snetchball\xilium.cefglue.xml
%TEMP%\nsh8231.tmp\litefirewall.dll
%APPDATA%\snetchball\devtools_resources.pak
%APPDATA%\snetchball\newtonsoft.json.dll
%APPDATA%\snetchball\mousekeyboardactivitymonitor.dll
%APPDATA%\snetchball\ionic.zip.dll
%APPDATA%\snetchball\del.exe
%TEMP%\nspe430.tmp
%APPDATA%\snetchball\update\setup.exe
%TEMP%\nsc5dfa.tmp\inetc.dll
%TEMP%\nsc5dfa.tmp\nsprocess.dll
%APPDATA%\snetchball\xilium.cefglue.dll
%APPDATA%\snetchball\locales\sw.pak
%APPDATA%\snetchball\icudtl.dat
%APPDATA%\snetchball\libcef.dll
%APPDATA%\snetchball\libegl.dll
%APPDATA%\snetchball\locales\en-gb.pak
%APPDATA%\snetchball\locales\el.pak
%APPDATA%\snetchball\locales\de.pak
%APPDATA%\snetchball\locales\da.pak
%APPDATA%\snetchball\locales\cs.pak
%APPDATA%\snetchball\locales\ca.pak
%APPDATA%\snetchball\locales\bn.pak
%APPDATA%\snetchball\libglesv2.dll
%APPDATA%\snetchball\locales\bg.pak
%APPDATA%\snetchball\d3dcompiler_47.dll
%APPDATA%\snetchball\resources\courgette-regular.ttf
%APPDATA%\snetchball\machines\default.pmf
%APPDATA%\snetchball\widevinecdmadapter.dll
%APPDATA%\snetchball\start.bat
%APPDATA%\snetchball\snapshot_blob.bin
%APPDATA%\snetchball\natives_blob.bin
%APPDATA%\snetchball\log4net.dll
%APPDATA%\snetchball\locales\ar.pak
%APPDATA%\snetchball\uninstall.exe

Удаляет следующие файлы

%TEMP%\nsh8231.tmp\litefirewall.dll
%APPDATA%\snetchball\update\setup.exe
%TEMP%\nsc5dfa.tmp\inetc.dll
%TEMP%\nsc5dfa.tmp\nsprocess.dll

Сетевая активность

Подключается к

'su##tsk.biz':80

TCP

Запросы HTTP GET

http://do#####gbuttons.site/7/huge.dat

Запросы HTTP POST

http://su##tsk.biz/c/g

UDP

DNS ASK do#####gbuttons.site
DNS ASK su##tsk.biz

Другое

Создает и запускает на исполнение

'%APPDATA%\snetchball\update\setup.exe'
'%APPDATA%\snetchball\snetchball.exe'
'%APPDATA%\snetchball\snetchball.exe' --type=renderer --no-sandbox --disable-databases --primordial-pipe-token=CB8938418013E843BB1500EC1E959A87 --lang=en-US --lang=en-US --log-file=CefGlue.log --log-severity=disable --user-agent="M...