Trojan.DownLoader30.27491

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие сервисы

[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v2.0.19857_x64] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\clr_optimization_v2.0.19857_x64] 'ImagePath' = '%WINDIR%\SysWOW64\WerlFault.exe'
[<HKLM>\System\CurrentControlSet\Services\SRPolicySvc] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\SRPolicySvc] 'ImagePath' = '%WINDIR%\SysWOW64\FrameworkUI.exe'
[<HKLM>\System\CurrentControlSet\Services\WindowsSearch] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\WindowsSearch] 'ImagePath' = '<SYSTEM32>\WindowsSearch.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\net.exe' stop SRPolicySvc

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\syswow64\werlfault.exe
<Текущая директория>\cn.exe
%WINDIR%\syswow64\frameworkui.exe
%WINDIR%\livekernel\srpolicysvc.exe
%WINDIR%\syswow64\parameters.ini
%WINDIR%\syswow64\proceslist.txt
%WINDIR%\syswow64\autocloseexe.txt
%WINDIR%\syswow64\windowssearch.exe
%WINDIR%\livekernel\libry32_a.dll
%WINDIR%\livekernel\libry32_c.dll

Присваивает атрибут 'скрытый' для следующих файлов

%WINDIR%\syswow64\windowssearch.exe
%WINDIR%\syswow64\parameters.ini

Удаляет следующие файлы

<Текущая директория>\cn.exe

Сетевая активность

Подключается к

'18#.#44.218.228':3080

UDP

DNS ASK sp###.#ainsis.online
DNS ASK sm.####esab.services

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\werlfault.exe' install clr_optimization_v2.0.19857_x64 %PROGRAMDATA%\Microsoft\Network\lsass.exe
'%WINDIR%\syswow64\frameworkui.exe'
'%WINDIR%\syswow64\frameworkui.exe' install SRPolicySvc %WINDIR%\LiveKernel\SRPolicySvc.exe
'%WINDIR%\syswow64\windowssearch.exe'
'<Текущая директория>\cn.exe'
'%WINDIR%\livekernel\srpolicysvc.exe'
'%WINDIR%\syswow64\werlfault.exe'
'<Текущая директория>\cn.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\werlfault.exe' install clr_optimization_v2.0.19857_x64 %PROGRAMDATA%\Microsoft\Network\lsass.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc start clr_optimization_v2.0.19857_x64' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c net stop SRPolicySvc' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc config SRPolicySvc DisplayName= "Microsoft FrameworkUI "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc description SRPolicySvc "Executes diagnostic actions support"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\FrameworkUI.exe install SRPolicySvc %WINDIR%\LiveKernel\SRPolicySvc.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc start SRPolicySvc' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc description clr_optimization_v2.0.19857_x64 "Microsoft .NET Framework NGEN"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc delete SRPolicySvc' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c sc description clr_optimization_v2.0.19857_x64 "Microsoft .NET Framework NGEN"
'%WINDIR%\syswow64\sc.exe' description clr_optimization_v2.0.19857_x64 "Microsoft .NET Framework NGEN"
'%WINDIR%\syswow64\cmd.exe' /c sc start clr_optimization_v2.0.19857_x64
'%WINDIR%\syswow64\sc.exe' start clr_optimization_v2.0.19857_x64
'%WINDIR%\syswow64\cmd.exe' /c net stop SRPolicySvc
'%WINDIR%\syswow64\net1.exe' stop SRPolicySvc
'%WINDIR%\syswow64\cmd.exe' /c sc delete SRPolicySvc
'%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\FrameworkUI.exe install SRPolicySvc %WINDIR%\LiveKernel\SRPolicySvc.exe
'%WINDIR%\syswow64\sc.exe' delete SRPolicySvc
'%WINDIR%\syswow64\cmd.exe' /c sc description SRPolicySvc "Executes diagnostic actions support"
'%WINDIR%\syswow64\sc.exe' description SRPolicySvc "Executes diagnostic actions support"
'%WINDIR%\syswow64\cmd.exe' /c sc config SRPolicySvc DisplayName= "Microsoft FrameworkUI "
'%WINDIR%\syswow64\sc.exe' config SRPolicySvc DisplayName= "Microsoft FrameworkUI "
'%WINDIR%\syswow64\cmd.exe' /c sc start SRPolicySvc
'%WINDIR%\syswow64\sc.exe' start SRPolicySvc
'%WINDIR%\syswow64\wbem\wmic.exe' path CIM_VideoController get name