Trojan.DownLoader34.49333

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\y-1-9-20-1051457700-1013027585-1016040388-4469\{xmimbaue-nzcm-2lb4-74hl-x8dcgcfut6va}

Вредоносные функции

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\3drpi3ji\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\37dr763x\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0xfidm8g\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\r7c58zty\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\amd64_netfx4-system.collections_b03f5f7f11d50a3a_4.0.9600.16384_none_595a6b22ae46441d\config.json

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\3drpi3ji\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\37dr763x\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0xfidm8g\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\r7c58zty\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%APPDATA%\amd64_netfx4-system.collections_b03f5f7f11d50a3a_4.0.9600.16384_none_595a6b22ae46441d\config.json

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\amd64_netfx4-system.collections_b03f5f7f11d50a3a_4.0.9600.16384_none_595a6b22ae46441d\api-ms-win-core-processtopology-l1-2-0.exe

Сетевая активность

TCP

Запросы HTTP GET

'ip###ger.org':443

'ya####ba.zzz.com.ua':21

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%APPDATA%\amd64_netfx4-system.collections_b03f5f7f11d50a3a_4.0.9600.16384_none_595a6b22ae46441d\api-ms-win-core-processtopology-l1-2-0.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'<SYSTEM32>\taskeng.exe' {0E9CFAB0-ABA3-4DB6-9F9A-388C98DEFE9E} S-1-5-21-1960123792-2022915161-3775307078-1001:wskxgnaih\user:Interactive:[1]