Trojan.DownLoader33.37591

Техническая информация

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\hileyapak.exe
<Текущая директория>\res.exe
%TEMP%\hvxjuo4s.0.vb
%TEMP%\hvxjuo4s.cmdline
%TEMP%\hvxjuo4s.out
%TEMP%\vbc5ab4.tmp
%TEMP%\res5ac5.tmp
<Текущая директория>\1.exe
<Текущая директория>\res.log
<Текущая директория>\res.ini
<Текущая директория>\1.res
nul

Удаляет следующие файлы

%TEMP%\res5ac5.tmp
%TEMP%\vbc5ab4.tmp
%TEMP%\hvxjuo4s.cmdline
%TEMP%\hvxjuo4s.0.vb
%TEMP%\hvxjuo4s.out
<Текущая директория>\1.exe
<Текущая директория>\1.res
<Текущая директория>\res.exe
<Текущая директория>\res.log
<Текущая директория>\res.ini
<Текущая директория>\c3445b8069.exe

Перемещает следующие файлы

<Текущая директория>\hileyapak.exe в <Текущая директория>\c3445b8069.exe

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://fi##o.tr.ht/det/envanter.txt

UDP

DNS ASK fi##o.tr.ht

Другое

Ищет следующие окна

ClassName: 'MS_WINHELP' WindowName: ''

Создает и запускает на исполнение

'<Текущая директория>\res.exe' -extract <Текущая директория>\1.exe,<Текущая директория>\1.res,VERSIONINFO,,
'<Текущая директория>\res.exe' -delete <Текущая директория>\HileYapak.exe,<Текущая директория>\res.exe,VERSIONINFO,,
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\HileYapak.exe,<Текущая директория>\HileYapak.exe,<Текущая директория>\1.res,VERSIONINFO,1,
'<Текущая директория>\c3445b8069.exe'
'%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hvxjuo4s.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5AC5.tmp" "%TEMP%\vbc5AB4.tmp"' (со скрытым окном)
'<Текущая директория>\res.exe' -extract <Текущая директория>\1.exe,<Текущая директория>\1.res,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -delete <Текущая директория>\HileYapak.exe,<Текущая директория>\res.exe,VERSIONINFO,,' (со скрытым окном)
'<Текущая директория>\res.exe' -addoverwrite <Текущая директория>\HileYapak.exe,<Текущая директория>\HileYapak.exe,<Текущая директория>\1.res,VERSIONINFO,1,' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C ping 1.1.1.1 -n 2 -w 1000 > Nul & Del "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework64\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hvxjuo4s.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5AC5.tmp" "%TEMP%\vbc5AB4.tmp"
'<SYSTEM32>\cmd.exe' /C ping 1.1.1.1 -n 2 -w 1000 > Nul & Del "<Полный путь к файлу>"
'<SYSTEM32>\ping.exe' 1.1.1.1 -n 2 -w 1000
'%WINDIR%\syswow64\cmd.exe' /C ping 1.1.1.1 -n 2 -w 1000 > Nul & Del "<Текущая директория>\C3445B8069.exe"
'%WINDIR%\syswow64\ping.exe' 1.1.1.1 -n 2 -w 1000