Trojan.DownLoader35.7952

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\driverservices
<SYSTEM32>\tasks\handlersupporter

Изменения в файловой системе

Создает следующие файлы

%WINDIR%\temp\cabee63.tmp
%WINDIR%\temp\taree64.tmp

Удаляет следующие файлы

%WINDIR%\temp\cabee63.tmp
%WINDIR%\temp\taree64.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

'localhost':49173

'localhost':49175

'localhost':49176

'pa###bin.com':443

UDP

DNS ASK pa###bin.com
DNS ASK microsoft.com
DNS ASK st####.rapidssl.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\HandlerUpdater.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\HdcpHelper.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\nvrtc64_100_0.dll' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\nvrtc-builtins64_100.dll' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\xmrig-cuda.dll' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %APPDATA%\DriverManager\BrokerServices.exe' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %APPDATA%\DriverManager' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "HandlerSupporter" /tr "%ALLUSERSPROFILE%\HandlerSupport\HdcpHelper.exe" /f' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "DriverServices" /tr %APPDATA%\DriverManager\BrokerServices.exe /f' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport
'%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "HandlerSupporter" /tr "%ALLUSERSPROFILE%\HandlerSupport\HdcpHelper.exe" /f
'%WINDIR%\syswow64\attrib.exe' +h +s %APPDATA%\DriverManager
'%WINDIR%\syswow64\attrib.exe' +h +s %APPDATA%\DriverManager\BrokerServices.exe
'%WINDIR%\syswow64\attrib.exe' +h +s %ALLUSERSPROFILE%\HandlerSupport\nvrtc-builtins64_100.dll
'%WINDIR%\syswow64\attrib.exe' +h +s %ALLUSERSPROFILE%\HandlerSupport\xmrig-cuda.dll
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %APPDATA%\DriverManager
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %APPDATA%\DriverManager\BrokerServices.exe
'%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "DriverServices" /tr %APPDATA%\DriverManager\BrokerServices.exe /f
'%WINDIR%\syswow64\attrib.exe' +h +s %ALLUSERSPROFILE%\HandlerSupport\HdcpHelper.exe
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\xmrig-cuda.dll
'%WINDIR%\syswow64\attrib.exe' +h +s %ALLUSERSPROFILE%\HandlerSupport\HandlerUpdater.exe
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\nvrtc-builtins64_100.dll
'%WINDIR%\syswow64\attrib.exe' +h +s %ALLUSERSPROFILE%\HandlerSupport
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\nvrtc64_100_0.dll
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\HdcpHelper.exe
'%WINDIR%\syswow64\cmd.exe' /c ATTRIB +h +s %ALLUSERSPROFILE%\HandlerSupport\HandlerUpdater.exe
'%WINDIR%\syswow64\attrib.exe' +h +s %ALLUSERSPROFILE%\HandlerSupport\nvrtc64_100_0.dll
'<SYSTEM32>\taskeng.exe' {B1505895-CBD1-41CE-983A-33C6D33D4EF3} S-1-5-21-1960123792-2022915161-3775307078-1001:aoifpijjjpcv\user:Interactive:[1]