Trojan.DownLoader33.882

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\winlogin.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\pack_de_windy\1i.bat
%TEMP%\_mei20682\_lzma.pyd
%TEMP%\_mei20682\_multiprocessing.pyd
%TEMP%\_mei20682\_queue.pyd
%TEMP%\_mei20682\_socket.pyd
%TEMP%\_mei20682\_ssl.pyd
%TEMP%\_mei20682\_win32sysloader.pyd
%TEMP%\_mei20682\_yaml.cp37-win32.pyd
%TEMP%\_mei20682\api-ms-win-core-console-l1-1-0.dll
%TEMP%\_mei20682\cryptodome\hash\_sha512.cp37-win32.pyd
%TEMP%\_mei20682\api-ms-win-core-datetime-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-errorhandling-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-file-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-file-l1-2-0.dll
%TEMP%\_mei20682\api-ms-win-core-file-l2-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-handle-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-heap-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-interlocked-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-libraryloader-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-localization-l1-2-0.dll
%TEMP%\_mei20682\_ctypes.pyd
%TEMP%\_mei20682\api-ms-win-core-debug-l1-1-0.dll
%TEMP%\_mei20682\_hashlib.pyd
%TEMP%\_mei20682\_decimal.pyd
%TEMP%\_mei20682\_contextvars.pyd
%TEMP%\_mei20682\_cffi_backend.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_blake2s.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_md2.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_md4.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_md5.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_ripemd160.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_sha1.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_sha224.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_sha256.cp37-win32.pyd
%TEMP%\_mei20682\api-ms-win-core-memory-l1-1-0.dll
%TEMP%\_mei20682\cryptodome\hash\_sha384.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_ocb.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_ghash_clmul.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_keccak.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_poly1305.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\math\_modexp.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\protocol\_scrypt.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\publickey\_ec_ws.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\util\_cpuid_c.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\util\_strxor.cp37-win32.pyd
%TEMP%\_mei20682\vcruntime140.dll
%TEMP%\_mei20682\cryptodome\cipher\_raw_ofb.cp37-win32.pyd
%TEMP%\_mei20682\_bz2.pyd
%TEMP%\_mei20682\cryptodome\hash\_ghash_portable.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\hash\_blake2b.cp37-win32.pyd
%TEMP%\_mei20682\api-ms-win-core-namedpipe-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-profile-l1-1-0.dll
%TEMP%\_mei20682\pyexpat.pyd
%TEMP%\_mei20682\python37.dll
%TEMP%\_mei20682\pythoncom37.dll
%TEMP%\_mei20682\pywintypes37.dll
%TEMP%\_mei20682\select.pyd
%TEMP%\_mei20682\ucrtbase.dll
%TEMP%\_mei20682\unicodedata.pyd
%TEMP%\_mei20682\win32api.pyd
%TEMP%\_mei20682\win32com\shell\shell.pyd
%TEMP%\_mei20682\csrss.exe.manifest
%TEMP%\_mei20682\win32trace.pyd
%TEMP%\_mei20682\win32wnet.pyd
%TEMP%\_mei20682\include\pyconfig.h
%TEMP%\_mei20682\base_library.zip
%TEMP%\_mei20682\certifi\cacert.pem
%TEMP%\_mei20682\httplib2\cacerts.txt
%TEMP%\_mei20682\lib2to3\grammar.txt
%TEMP%\_mei20682\lib2to3\grammar3.7.2.final.0.pickle
%TEMP%\_mei20682\lib2to3\patterngrammar.txt
%TEMP%\_mei20682\lib2to3\patterngrammar3.7.2.final.0.pickle
%TEMP%\_mei20682\libssl-1_1.dll
%TEMP%\_mei20682\mfc140u.dll
%TEMP%\_mei20682\libcrypto-1_1.dll
%TEMP%\_mei20682\api-ms-win-crt-utility-l1-1-0.dll
%TEMP%\_mei20682\crypto\cipher\_raw_des3.cp37-win32.pyd
%TEMP%\_mei20682\api-ms-win-core-rtlsupport-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-string-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-synch-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-synch-l1-2-0.dll
%TEMP%\_mei20682\api-ms-win-core-sysinfo-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-timezone-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-util-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-conio-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-processenvironment-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-core-processthreads-l1-1-1.dll
%TEMP%\_mei20682\api-ms-win-core-processthreads-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-convert-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-locale-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-multibyte-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-process-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-runtime-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-stdio-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-string-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-time-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-environment-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-filesystem-l1-1-0.dll
%TEMP%\_mei20682\api-ms-win-crt-heap-l1-1-0.dll
%TEMP%\_mei20682\cryptodome\cipher\_raw_eksblowfish.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_ecb.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_des3.cp37-win32.pyd
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109206128.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109208251.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109210072.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109215028.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109218344.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109233442.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109243640.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109322281.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109327005.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109502230.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109329193.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109333868.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109337827.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109341111.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109343985.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109346691.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109349599.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109492881.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109495763.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109193194.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109172811.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109204023.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109166739.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109134312.jpg
<Текущая директория>\pack_de_windy\i1.bat
<Текущая директория>\1n1.vbs
<Текущая директория>\pack_de_windy\f1n.vbs
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108822671.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108834895.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108839892.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108842073.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108844093.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108846179.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109498549.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108848755.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109331428.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108853909.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108858397.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108860600.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109122666.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109124767.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109126787.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109128772.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109130657.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109132527.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108851038.jpg
<Текущая директория>\pack_de_windy\kshiyg.exe
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497108856229.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109195067.jpg
<Текущая директория>\pack_de_windy\pack de windy\fb_img_1497109505932.jpg
%TEMP%\_mei20682\crypto\hash\_sha512.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_ghash_portable.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_keccak.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_poly1305.cp37-win32.pyd
%TEMP%\_mei20682\crypto\math\_modexp.cp37-win32.pyd
%TEMP%\_mei20682\crypto\protocol\_scrypt.cp37-win32.pyd
%TEMP%\_mei20682\crypto\publickey\_ec_ws.cp37-win32.pyd
%TEMP%\_mei20682\crypto\util\_cpuid_c.cp37-win32.pyd
%TEMP%\_mei20682\crypto\util\_strxor.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_sha384.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_arc4.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_ghash_clmul.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_arc4.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_aesni.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_arc2.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_blowfish.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_cast.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_cbc.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_cfb.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_ctr.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_des.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_salsa20.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_chacha20.cp37-win32.pyd
%TEMP%\_mei20682\cryptodome\cipher\_raw_aes.cp37-win32.pyd
%TEMP%\_mei20682\win32ui.pyd
%TEMP%\_mei20682\lib2to3\tests\data\readme
%TEMP%\_mei20682\crypto\hash\_sha1.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_chacha20.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_aes.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_aesni.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_arc2.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_blowfish.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_cast.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_cbc.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_cfb.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_ctr.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_sha224.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_sha256.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_des.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_eksblowfish.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_ocb.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_ofb.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_blake2b.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_blake2s.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_md2.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_md4.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_md5.cp37-win32.pyd
%TEMP%\_mei20682\crypto\hash\_ripemd160.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_salsa20.cp37-win32.pyd
%TEMP%\_mei20682\crypto\cipher\_raw_ecb.cp37-win32.pyd
%TEMP%\ufdtju7n

Присваивает атрибут 'скрытый' для следующих файлов

<Текущая директория>\pack_de_windy\1i.bat
<Текущая директория>\pack_de_windy\i1.bat
<Текущая директория>\1n1.vbs
<Текущая директория>\pack_de_windy\f1n.vbs

Удаляет следующие файлы

<Текущая директория>\pack_de_windy\kshiyg.exe
%TEMP%\ufdtju7n

Сетевая активность

TCP

'f0###############a-9fc6-7c8fe219f47c.us.u.fastly-insights.com':443
'docs.google.com':443

UDP

DNS ASK f0###############a-9fc6-7c8fe219f47c.us.u.fastly-insights.com
DNS ASK docs.google.com

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "<Текущая директория>\1n1.vbs"
'%WINDIR%\syswow64\wscript.exe' "<Текущая директория>\Pack_de_Windy\f1n.vbs"
'%APPDATA%\microsoft\windows\start menu\programs\startup\winlogin.exe'
'%WINDIR%\syswow64\cmd.exe' /c Pack_de_Windy\1i.bat' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c Pack_de_Windy\i1.bat' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c il.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c Pack_de_Windy\1i.bat
'%WINDIR%\syswow64\cmd.exe' /c Pack_de_Windy\i1.bat
'%WINDIR%\syswow64\cmd.exe' /c il.bat

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней