Trojan.DownLoader30.31344

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googleupdatetaskmachinels

Изменения в файловой системе

Создает следующие файлы

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\3b885d~1\tor\libevent_extra-2-1-6.dll
%APPDATA%\3b885d~1\tor\libgcc_s_sjlj-1.dll
%APPDATA%\3b885d~1\tor\libssp-0.dll
%APPDATA%\3b885d~1\tor\libwinpthread-1.dll
%APPDATA%\3b885d~1\tor\ssleay32.dll
%APPDATA%\3b885d~1\tor\tor-gencert.exe
%APPDATA%\3b885d~1\tor\zlib1.dll
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-microdesc-consensus.tmp
%TEMP%\aut23b2.tmp
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\tor\torcc
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\roaminglog
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\state.tmp
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\unverified-microdesc-consensus.tmp
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-certs.tmp
%APPDATA%\3b885d~1\tor\libevent_core-2-1-6.dll
%APPDATA%\3b885d~1\tor\tor.exe
%APPDATA%\3b885d~1\tor\libevent-2-1-6.dll
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\6hair3kj\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\d4dhuu1x\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\jbm3jk69\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1nj1dq7t\desktop.ini
%APPDATA%\3b885d~1\data\tor\geoip6
%APPDATA%\microsoft\windows\cookies\low\index.dat
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\oracle\secure\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\javsecc.exe
%TEMP%\autc85d.tmp
%TEMP%\c86e.tmp
%APPDATA%\3b885d~1\data\tor\geoip
%APPDATA%\3b885d~1\tor\libeay32.dll
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-microdescs.new

Присваивает атрибут 'скрытый' для следующих файлов

<LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\d4dhuu1x\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\jbm3jk69\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\6hair3kj\desktop.ini
<LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1nj1dq7t\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
<LS_APPDATA>\microsoft\windows\history\low\desktop.ini
%APPDATA%\oracle\secure\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\javsecc.exe

Удаляет следующие файлы

%TEMP%\autc85d.tmp
%TEMP%\c86e.tmp.zip
%TEMP%\aut23b2.tmp
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\unverified-microdesc-consensus
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\state

Перемещает следующие файлы

%TEMP%\c86e.tmp в %TEMP%\c86e.tmp.zip
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\state.tmp в %APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\state
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\unverified-microdesc-consensus.tmp в %APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\unverified-microdesc-consensus
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-certs.tmp в %APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-certs
%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-microdesc-consensus.tmp в %APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\cached-microdesc-consensus

Подменяет следующие файлы

%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\data\state

Сетевая активность

TCP

Запросы HTTP GET

http://ch####p.dyndns.org/

UDP

DNS ASK ap#.#pify.org
DNS ASK ch####p.dyndns.org
DNS ASK to###oject.org
DNS ASK di##.#orproject.org

Другое

Создает и запускает на исполнение

'%APPDATA%\oracle\secure\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\javsecc.exe' v
'%APPDATA%\oracle\secure\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\javsecc.exe' Run
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /CREATE /SC MINUTE /TN GoogleUpdateTaskMachineLS /IT /F /TR "%APPDATA%\Oracle\Secure\3B885DD9-1DF9-E54C-A5C5-D08BB6A85DEC\javsecc.exe Run"' (со скрытым окном)
'%APPDATA%\oracle\secure\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\javsecc.exe' v' (со скрытым окном)
'%APPDATA%\oracle\secure\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\javsecc.exe' Run' (со скрытым окном)
'%APPDATA%\3b885dd9-1df9-e54c-a5c5-d08bb6a85dec\tor\tor.exe' -f Tor\torcc' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /CREATE /SC MINUTE /TN GoogleUpdateTaskMachineLS /IT /F /TR "%APPDATA%\Oracle\Secure\3B885DD9-1DF9-E54C-A5C5-D08BB6A85DEC\javsecc.exe Run"
'%WINDIR%\syswow64\schtasks.exe' /CREATE /SC MINUTE /TN GoogleUpdateTaskMachineLS /IT /F /TR "%APPDATA%\Oracle\Secure\3B885DD9-1DF9-E54C-A5C5-D08BB6A85DEC\javsecc.exe Run"
'<SYSTEM32>\taskeng.exe' {276F9FFF-B747-4CBA-AE1A-21B22BE4573B} S-1-5-21-1960123792-2022915161-3775307078-1001:iduhjvkk\user:Interactive:[1]