Trojan.DownLoader34.58652

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\l-2-7-57-1280914857-1108034935-1404807179-2220\{qyxviaxi-syfn-zmsg-axop-69uka9afpsqh}

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xg2ock40\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ubtj5ck8\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\g43bqhkk\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2rwr36wa\desktop.ini
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xg2ock40\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ubtj5ck8\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\g43bqhkk\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2rwr36wa\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Самоперемещается

из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107\actioncenter.exe

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D

'yi#.su':443

UDP

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\amd64...' (со скрытым окном)
'%APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107\actioncenter.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\amd64...
'%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)"
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)"
'%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_microsoft-windows-i..lprovider.resources_31bf3856ad364e35_10.0.18362.1_en-us_631877d702c2c107" /inheritance:e /deny "user:(R,REA,RA,RD)"
'<SYSTEM32>\taskeng.exe' {752AE174-406A-4159-9CA6-69EC0EF5C4DC} S-1-5-21-1960123792-2022915161-3775307078-1001:wtxlfiponqk\user:Interactive:[1]