Trojan.DownLoader33.20213

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WMI Provider Host' = '"%LOCALAPPDATA%\Microsoft\Windows\WMI Provider Host\WMI Provider Host.exe"'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\wmi provider host\wmi provider host.exe
%LOCALAPPDATA%\microsoft\windows\wmi provider host\0.tmp
nul
%WINDIR%\temp\cab759f.tmp
%WINDIR%\temp\tar75a0.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\wmi provider host\wmi provider host.exe

Удаляет следующие файлы

%LOCALAPPDATA%\microsoft\windows\wmi provider host\0.tmp
%WINDIR%\temp\cab759f.tmp
%WINDIR%\temp\tar75a0.tmp

Подменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\wmi provider host\0.tmp

Самоудаляется.

Сетевая активность

TCP

'localhost':49173
'localhost':49510
'localhost':49509
'localhost':49507
'localhost':49505
'localhost':49504
'localhost':49502
'localhost':49514
'localhost':49512
'localhost':49496
'localhost':49494
'localhost':49493
'localhost':49491
'localhost':49489
'localhost':49488
'localhost':49499
'localhost':49545
'localhost':49515
'localhost':49542
'localhost':49540
'localhost':49539
'localhost':49537
'localhost':49535
'localhost':49534
'localhost':49532
'localhost':49530
'localhost':49529
'localhost':49527
'localhost':49525
'localhost':49524
'localhost':49522
'localhost':49520
'localhost':49519
'localhost':49486
'localhost':49498
'localhost':49517
'localhost':49544
'localhost':49481
'localhost':49437
'localhost':49445
'localhost':49443
'localhost':49442
'localhost':49440
'localhost':49438
'localhost':49452
'localhost':49448
'localhost':49450
'localhost':49432
'localhost':49430
'localhost':49428
'localhost':49427
'localhost':49425
'localhost':49433
'localhost':49453
'localhost':49479
'localhost':49483
'localhost':49447
'localhost':49478
'localhost':49476
'localhost':49474
'localhost':49473
'localhost':49471
'localhost':49469
'localhost':49468
'localhost':49466
'localhost':49464
'localhost':49463
'localhost':49461
'localhost':49458
'localhost':49457
'localhost':49455
'localhost':49484
'localhost':49328
'localhost':49547
'localhost':49635
'localhost':49634
'localhost':49632
'localhost':49630
'localhost':49629
'localhost':49627
'localhost':49637
'localhost':49640
'localhost':49625
'localhost':49620
'localhost':49619
'localhost':49617
'localhost':49615
'localhost':49614
'localhost':49624
'localhost':49622
'localhost':49549
'localhost':49642
'localhost':49665
'localhost':49664
'localhost':49662
'localhost':49660
'localhost':49659
'localhost':49657
'localhost':49655
'localhost':49654
'localhost':49652
'localhost':49650
'localhost':49649
'localhost':49647
'localhost':49645
'localhost':49644
'localhost':49612
'localhost':49610
'localhost':49639
'localhost':49609
'localhost':49607
'localhost':49574
'localhost':49560
'localhost':49570
'localhost':49569
'localhost':49567
'localhost':49565
'localhost':49564
'localhost':49562
'localhost':49559
'localhost':49423
'localhost':49557
'localhost':49554
'localhost':49550
'localhost':49553
'localhost':49551
'localhost':49576
'localhost':49578
'localhost':49435
'localhost':49579
'localhost':49575
'localhost':49572
'localhost':49604
'localhost':49602
'localhost':49600
'localhost':49599
'localhost':49597
'localhost':49595
'localhost':49594
'localhost':49592
'localhost':49590
'localhost':49589
'localhost':49587
'localhost':49585
'localhost':49584
'localhost':49582
'localhost':49605
'localhost':49422
'localhost':49420
'localhost':49418
'localhost':49250
'localhost':49258
'localhost':49257
'localhost':49255
'localhost':49253
'localhost':49252
'localhost':49265
'localhost':49262
'localhost':49263
'localhost':49245
'localhost':49242
'localhost':49238
'localhost':49241
'localhost':49239
'localhost':49247
'localhost':49267
'localhost':49292
'localhost':49237
'localhost':49233
'localhost':49290
'localhost':49288
'localhost':49287
'localhost':49285
'localhost':49283
'localhost':49282
'localhost':49280
'localhost':49278
'localhost':49277
'localhost':49275
'localhost':49273
'localhost':49272
'localhost':49270
'localhost':49268
'localhost':49248
'localhost':49235
'localhost':49232
'localhost':49193
'localhost':49187
'localhost':49198
'localhost':49196
'localhost':49194
'localhost':49192
'localhost':49190
'localhost':49188
'localhost':49185
'localhost':49202
'localhost':49183
'localhost':49182
'localhost':49180
'im##.gmail.com':993
'localhost':49176
'localhost':49175
'localhost':49293
'localhost':49669
'localhost':49204
'localhost':49201
'localhost':49200
'localhost':49230
'localhost':49228
'localhost':49227
'localhost':49225
'localhost':49223
'localhost':49222
'localhost':49220
'localhost':49218
'localhost':49217
'localhost':49215
'localhost':49213
'localhost':49212
'localhost':49210
'localhost':49205
'localhost':49197
'localhost':49667
'localhost':49295
'localhost':49300
'localhost':49388
'localhost':49385
'localhost':49383
'localhost':49382
'localhost':49380
'localhost':49378
'localhost':49260
'localhost':49377
'localhost':49375
'localhost':49372
'localhost':49370
'localhost':49368
'localhost':49367
'localhost':49365
'localhost':49387
'localhost':49390
'localhost':49417
'localhost':49362
'localhost':49392
'localhost':49415
'localhost':49413
'localhost':49412
'localhost':49410
'localhost':49408
'localhost':49407
'localhost':49405
'localhost':49403
'localhost':49402
'localhost':49400
'localhost':49398
'localhost':49397
'localhost':49395
'localhost':49393
'localhost':49363
'localhost':49373
'localhost':49360
'localhost':49358
'localhost':49297
'localhost':49312
'localhost':49322
'localhost':49320
'localhost':49318
'localhost':49317
'localhost':49315
'localhost':49313
'localhost':49310
'localhost':49325
'localhost':49308
'localhost':49307
'localhost':49305
'localhost':49303
'localhost':49302
'localhost':49327
'localhost':49298
'localhost':49330
'localhost':49333
'localhost':49357
'localhost':49323
'localhost':49355
'localhost':49353
'localhost':49352
'localhost':49350
'localhost':49348
'localhost':49347
'localhost':49345
'localhost':49343
'localhost':49342
'localhost':49340
'localhost':49338
'localhost':49337
'localhost':49335
'localhost':49332
'localhost':49670

UDP

DNS ASK im##.gmail.com
DNS ASK public-trust.com

Другое

Ищет следующие окна

ClassName: 'ConsoleWindowClass' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\microsoft\windows\wmi provider host\wmi provider host.exe'
'%LOCALAPPDATA%\microsoft\windows\wmi provider host\wmi provider host.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c attrib +h "%LOCALAPPDATA%\Microsoft\Windows\WMI Provider Host" & attrib +h "%LOCALAPPDATA%\Microsoft\Windows\WMI Provider Host\WMI Provider Host.exe"
'<SYSTEM32>\attrib.exe' +h "%LOCALAPPDATA%\Microsoft\Windows\WMI Provider Host"
'<SYSTEM32>\attrib.exe' +h "%LOCALAPPDATA%\Microsoft\Windows\WMI Provider Host\WMI Provider Host.exe"
'<SYSTEM32>\cmd.exe' /c cd > 0.tmp
'<SYSTEM32>\cmd.exe' /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "<Полный путь к файлу>"
'<SYSTEM32>\cmd.exe' /c wmic csproduct get UUID > 0.tmp
'<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 3000
'<SYSTEM32>\wbem\wmic.exe' csproduct get UUID
'<SYSTEM32>\cmd.exe' /c del /s *.tmp

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней