Trojan.DownLoader30.30747

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\f-9-6-49-1376266978-1330747276-1190037924-4129\{vft9iqn1-l4pe-75hw-lavw-8ci2pag8babm}

Изменения в файловой системе

Создает следующие файлы

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\erv0y4eq\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\cqgev6xg\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\2wos26qp\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\thy8ri0d\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\config.json
%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\userdatalanguageutil.exe

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\erv0y4eq\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\cqgev6xg\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\2wos26qp\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\thy8ri0d\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\config.json
%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\userdatalanguageutil.exe

Самоперемещается

из <Полный путь к файлу> в %PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\comsvcs.exe

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV

UDP

Другое

Создает и запускает на исполнение

'%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\userdatalanguageutil.exe'
'%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\comsvcs.exe' ' (со скрытым окном)
'%PROGRAMDATA%\amd64_netfx4-system.runtime.remoting.resources_b03f5f7f11d50a3a_4.0.15788.0_ru-ru_c3107a3c069f274b\userdatalanguageutil.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'<SYSTEM32>\taskeng.exe' {F68C98AC-B5C1-49D7-8AB6-C0191BF8DA40} S-1-5-21-1960123792-2022915161-3775307078-1001:qtbujdlmd\user:Interactive:[1]