Trojan.DownLoader30.33731

Техническая информация

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\tged3rg.exe
%ProgramFiles(x86)%\youtubedownloader\sprache.dll
%ProgramFiles(x86)%\youtubedownloader\stylet.dll
%ProgramFiles(x86)%\youtubedownloader\stylet.pdb
%ProgramFiles(x86)%\youtubedownloader\system.windows.interactivity.dll
%ProgramFiles(x86)%\youtubedownloader\tyrrrz.extensions.dll
%ProgramFiles(x86)%\youtubedownloader\tyrrrz.settings.dll
%ProgramFiles(x86)%\youtubedownloader\xnet.dll
%ProgramFiles(x86)%\youtubedownloader\youtubedownloader.exe
%ProgramFiles(x86)%\youtubedownloader\youtubedownloader.exe.config
%ProgramFiles(x86)%\youtubedownloader\youtubedownloader.pdb
%ProgramFiles(x86)%\youtubedownloader\youtubeexplode.converter.dll
%ProgramFiles(x86)%\youtubedownloader\youtubeexplode.dll
%ProgramFiles(x86)%\youtubedownloader\uninstall.exe
%HOMEPATH%\desktop\youtubedownloaderus.lnk
%ProgramFiles(x86)%\youtubedownloader\uninstall.ini
%TEMP%\{f86d6d14-b191-444c-af65-8e13932bf74f}\revdd.exe
%TEMP%\{f86d6d14-b191-444c-af65-8e13932bf74f}\_ismsidel.ini
%TEMP%\~e48c.tmp
%TEMP%\~e48d.tmp
%TEMP%\~e4bd.tmp
%TEMP%\~e4be.tmp
%TEMP%\{f86d6d14-b191-444c-af65-8e13932bf74f}\setup.ini
%TEMP%\{f86d6d14-b191-444c-af65-8e13932bf74f}\0x0409.ini
%TEMP%\~e5d4.tmp
%TEMP%\~e5e5.tmp
%TEMP%\{f86d6d14-b191-444c-af65-8e13932bf74f}\speedup.msi
%LOCALAPPDATA%\downloaded installations\{6f82b70a-5218-4bac-b2bf-887f3978f05b}\speedup.msi
%ProgramFiles(x86)%\youtubedownloader\settings.ini
%TEMP%\~ea6a.tmp
%ProgramFiles(x86)%\youtubedownloader\settings.dat
%ProgramFiles(x86)%\youtubedownloader\ookii.dialogs.wpf.dll
%APPDATA%\revdd.exe
%TEMP%\$inst\2.tmp
%TEMP%\$inst\temp_0.tmp
%ProgramFiles(x86)%\youtubedownloader\cliwrap.dll
%ProgramFiles(x86)%\youtubedownloader\countrys.ini
%ProgramFiles(x86)%\youtubedownloader\ffmpeg.exe
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%ProgramFiles(x86)%\youtubedownloader\google.apis.auth.dll
%ProgramFiles(x86)%\youtubedownloader\google.apis.auth.pdb
%ProgramFiles(x86)%\youtubedownloader\google.apis.auth.platformservices.dll
%ProgramFiles(x86)%\youtubedownloader\google.apis.core.dll
%ProgramFiles(x86)%\youtubedownloader\google.apis.core.pdb
%ProgramFiles(x86)%\youtubedownloader\google.apis.dll
%ProgramFiles(x86)%\youtubedownloader\google.apis.pdb
%ProgramFiles(x86)%\youtubedownloader\google.apis.platformservices.dll
%ProgramFiles(x86)%\youtubedownloader\google.apis.sheets.v4.dll
%ProgramFiles(x86)%\youtubedownloader\google.apis.sheets.v4.pdb
%ProgramFiles(x86)%\youtubedownloader\gress.dll
%ProgramFiles(x86)%\youtubedownloader\ltgt.dll
%ProgramFiles(x86)%\youtubedownloader\materialdesigncolors.dll
%ProgramFiles(x86)%\youtubedownloader\materialdesigncolors.pdb
%ProgramFiles(x86)%\youtubedownloader\materialdesignthemes.wpf.dll
%ProgramFiles(x86)%\youtubedownloader\materialdesignthemes.wpf.pdb
%ProgramFiles(x86)%\youtubedownloader\microsoft.expression.interactions.dll
%ProgramFiles(x86)%\youtubedownloader\newtonsoft.json.dll
%ProgramFiles(x86)%\youtubedownloader\onova.dll
%ProgramFiles(x86)%\youtubedownloader\ookii.dialogs.wpf.pdb
%TEMP%\msi746.tmp

Удаляет следующие файлы

%TEMP%\$inst\temp_0.tmp
%TEMP%\$inst\0001.tmp
%TEMP%\$inst\0002.tmp
%TEMP%\~e48c.tmp
%TEMP%\~e48d.tmp
%TEMP%\~e4bd.tmp
%TEMP%\~e4be.tmp
%TEMP%\~e5d4.tmp
%TEMP%\~e5e5.tmp
%TEMP%\~ea6a.tmp
%TEMP%\msi746.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://yo######ownloaders.website/YoutubeDownloaderUS.exe
http://qu###n.capital/sp1.exe

'ip###ger.org':443

UDP

DNS ASK yo######ownloaders.website
DNS ASK qu###n.capital
DNS ASK ip###ger.org

Другое

Ищет следующие окна

ClassName: '18467-41' WindowName: ''
ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'

Создает и запускает на исполнение

'%APPDATA%\tged3rg.exe'
'%ProgramFiles(x86)%\youtubedownloader\youtubedownloader.exe'
'%APPDATA%\revdd.exe'
'%TEMP%\{f86d6d14-b191-444c-af65-8e13932bf74f}\revdd.exe' /q"%APPDATA%\revdd.exe" /tempdisk1folder"%TEMP%\{F86D6D14-B191-444C-AF65-8E13932BF74F}" /IS_temp
'%TEMP%\msi746.tmp'

Запускает на исполнение

'%WINDIR%\syswow64\msiexec.exe' /i "%LOCALAPPDATA%\Downloaded Installations\{6F82B70A-5218-4BAC-B2BF-887F3978F05B}\SpeedUp.msi" SETUPEXEDIR="%APPDATA%" SETUPEXENAME="revdd.exe"
'%WINDIR%\syswow64\dllhost.exe'