Trojan.DownLoader32.60822

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Classes\BeyondCompare.SettingsPackage\shell\open\command] '' = '"%TEMP%\7ZipSfx.000\BCompare.exe" "%1"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\64\bc4key.txt
nul
%TEMP%\7zipsfx.000\pdftotext.exe
%TEMP%\7zipsfx.000\patch.exe
%TEMP%\7zipsfx.000\mscoree.dll
%TEMP%\7zipsfx.000\bcunrar.dll
%TEMP%\7zipsfx.000\bcshellex.dll
%TEMP%\7zipsfx.000\bcompare.exe
%TEMP%\7zipsfx.000\bcomp.exe
%TEMP%\7zipsfx.000\7z.dll
%TEMP%\7zipsfx.000\64\pdftotext.exe
%TEMP%\7zipsfx.000\64\patch.exe
%TEMP%\7zipsfx.000\64\mscoree.dll
%APPDATA%\scooter software\beyond compare 4\bcstate.xml
%TEMP%\7zipsfx.000\64\bcunrar.dll
%TEMP%\7zipsfx.000\64\bcompare.exe
%TEMP%\7zipsfx.000\64\bcomp.exe
%TEMP%\7zipsfx.000\64\7z.dll
%TEMP%\7zipsfx.000\mime.types
%TEMP%\7zipsfx.000\license.html
%TEMP%\7zipsfx.000\bcompare.tr
%TEMP%\7zipsfx.000\bcomp.com
%TEMP%\7zipsfx.000\bc4key.txt
%TEMP%\7zipsfx.000\bc.bat
%TEMP%\7zipsfx.000\64\mime.types
%TEMP%\7zipsfx.000\64\bcompare.tr
%TEMP%\7zipsfx.000\64\bcomp.com
%TEMP%\7zipsfx.000\64\bcshellex64.dll
%APPDATA%\scooter software\beyond compare 4\bcstate.xml.tmp

Перемещает следующие файлы

%APPDATA%\scooter software\beyond compare 4\bcstate.xml в %APPDATA%\scooter software\beyond compare 4\bcstate.xml.bak

Подменяет следующие файлы

%APPDATA%\scooter software\beyond compare 4\bcstate.xml

Сетевая активность

TCP

Запросы HTTP GET

http://www.sc####rsoftware.com/checkupdates.php?pr################################################################################################

UDP

DNS ASK sc####rsoftware.com

Другое

Создает и запускает на исполнение

'%TEMP%\7zipsfx.000\64\bcompare.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\bc.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\bc.bat" "
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Scooter Software\Beyond Compare 4\BcShellEx" /v ExePath /d "%TEMP%\7ZipSfx.000\BCompare.exe" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Scooter Software\Beyond Compare\BcShellEx" /v ExePath /d "%TEMP%\7ZipSfx.000\BCompare.exe" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\CLSID\{57FA2D12-D22D-490A-805A-5CB48E84F12A}\InProcServer32" /v ThreadingModel /d "Apartment" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\CLSID\{57FA2D12-D22D-490A-805A-5CB48E84F12A}\InProcServer32" /ve /d "%TEMP%\7ZipSfx.000\BCShellEx.dll" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\BeyondCompare.SettingsPackage\shell\open\command" /ve /d "\"%TEMP%\7ZipSfx.000\BCompare.exe\" \"%1\"" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\BeyondCompare.SettingsPackage\DefaultIcon" /ve /d "%TEMP%\7ZipSfx.000\BCompare.exe,0" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\BeyondCompare.SettingsPackage" /ve /d "Beyond Compare Settings Package" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\BeyondCompare.Snapshot\DefaultIcon" /ve /d "%TEMP%\7ZipSfx.000\BCompare.exe,0" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\BeyondCompare.Snapshot" /ve /d "Beyond Compare Snapshot" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\.bcpkg" /ve /d BeyondCompare.SettingsPackage /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\.bcss" /ve /d BeyondCompare.Snapshot /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved" /v {57FA2D12-D22D-490A-805A-5CB48E84F12A} /d "Beyond Compare 4 Shell Extension" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\lnkfile\shellex\ContextMenuHandlers\CirrusShellEx" /ve /d "{57FA2D12-D22D-490A-805A-5CB48E84F12A}" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\CirrusShellEx" /ve /d "{57FA2D12-D22D-490A-805A-5CB48E84F12A}" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\CirrusShellEx" /ve /d "{57FA2D12-D22D-490A-805A-5CB48E84F12A}" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\Beyond Compare 4" /v EventMessageFile /d "%TEMP%\7ZipSfx.000\BCompare.exe" /F
'%WINDIR%\syswow64\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\Beyond Compare 4" /v TypesSupported /t REG_DWORD /d "7" /F