Trojan.DownLoader6.24803

Техническая информация

Вредоносные функции:

Запускает на исполнение:

<SYSTEM32>\wbem\wmic.exe memorychip list /format:htable /translate:nocomma
<SYSTEM32>\netstat.exe /a /b /e /f /o /r /v
<SYSTEM32>\systeminfo.exe /fo list
<SYSTEM32>\wbem\wmic.exe /append:"Windows_NT6_BSOD_jcgriff2\$_WMIC_recoveros.txt" pagefileset get /all /format:list
<SYSTEM32>\wbem\wmic.exe /append:"Windows_NT6_BSOD_jcgriff2\$_WMIC_recoveros.txt" pagefile get /all /format:list
<SYSTEM32>\wbem\wmic.exe /output:"Windows_NT6_BSOD_jcgriff2\$_WMIC_recoveros.txt" recoveros get /all /format:list
<SYSTEM32>\dxdiag.exe /t %HOMEPATH%\documents\Windows_NT6_BSOD_jcgriff2\dxdiag_x86t.txt
<SYSTEM32>\ping.exe 1.1.1.1 -n 1 -w 5000
<SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\Windows_NT6_BSOD_v3.03_jcgriff2_.bat""
<SYSTEM32>\driverquery.exe /fo list
<SYSTEM32>\driverquery.exe /si
<SYSTEM32>\driverquery.exe /v

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$_netstat_jcgriff2
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$_netsh_lan1.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$_WER_localappdata
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$_WER_programdata
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$systeminfo.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$evtx_sys_dump.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$set_environment_var.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$set_environment_var
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$_WER_ALL
<SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
%TEMP%\tmp6.tmp
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$_WMIC_recoveros.txt
<SYSTEM32>\wbem\Logs\WMIC.LOG
%TEMP%\tmp4.tmp
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$RAM_info.html
<SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
%TEMP%\tmp5.tmp
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$evtx_app_dump.txt
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
<SYSTEM32>\d3d9caps.dat
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\jcgriff2_status.rtf
%TEMP%\1.tmp\Windows_NT6_BSOD_v3.03_jcgriff2_.bat
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\!_kernel_dump_list.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$jcgriff2_log.txt
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\E04822AD18D472EA5B582E6E6F8C6B9A
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\E04822AD18D472EA5B582E6E6F8C6B9A
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\driverq_fo.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\driverq_si.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\hosts.txt
%TEMP%\Cab2.tmp
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\driverq_v.txt
<Текущая директория>\Windows_NT6_BSOD_jcgriff2\$sys_list.txt

Удаляет следующие файлы:

%TEMP%\tmp5.tmp
%TEMP%\tmp6.tmp
%TEMP%\Cab2.tmp
%TEMP%\tmp4.tmp

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
20#.#6.232.182/pki/crl/products/WinIntPCA.crl
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: