Trojan.DownLoader36.51841

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012021022620210227\index.dat
%TEMP%\sq8vzal1.0.cs
%TEMP%\sq8vzal1.cmdline
%TEMP%\sq8vzal1.out
%TEMP%\csc52e.tmp
%TEMP%\res53e.tmp
%TEMP%\sq8vzal1.dll
%TEMP%\sccgbdds.0.cs
%TEMP%\sccgbdds.cmdline
%TEMP%\sccgbdds.out
%TEMP%\csc711.tmp
%TEMP%\res722.tmp
%TEMP%\sccgbdds.dll

Удаляет следующие файлы

%TEMP%\res53e.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\favcenter[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\dnserror[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\down[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\favicon[1].ico
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\noconnect[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\tools[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
%TEMP%\sccgbdds.0.cs
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\background_gradient[1]
%TEMP%\sccgbdds.cmdline
%TEMP%\sccgbdds.out
%TEMP%\sccgbdds.pdb
%TEMP%\csc711.tmp
%TEMP%\res722.tmp
%TEMP%\sq8vzal1.pdb
%TEMP%\sq8vzal1.cmdline
%TEMP%\sq8vzal1.0.cs
%TEMP%\sq8vzal1.out
%TEMP%\sq8vzal1.dll
%TEMP%\csc52e.tmp
%TEMP%\sccgbdds.dll
%APPDATA%\microsoft\windows\cookies\user@klounisoronws[1].txt

Сетевая активность

Подключается к

'kl####soronws.xyz':80

TCP

Запросы HTTP GET

http://kl####soronws.xyz/favicon.ico
http://kl####soronws.xyz/fallback/s_2Fjyup0_2FhIb4dhgB/QU9eD0OyYE5kkGR_2F9/N52_2B4J0TVLW5LQeI_2BK/vLdnnDq210yQJ/oHMOZ_2B/wBnZz0s5GeRzqGpLqM5EI0s/pFlJz7C4l2/dxo31o9mswkyLG1WW/uqiuCop5AYoD/unXpVH...

UDP

DNS ASK updates.microsoft.com
DNS ASK kl####soronws.xyz

Другое

Ищет следующие окна

ClassName: 'Static' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'<SYSTEM32>\mshta.exe' "about:<hta:application><script>resizeTo(1,1);eval(new ActiveXObject('WScript.Shell').regread('HKCU\\\Software\\AppDataLow\\Software\\Microsoft\\294256E3-74A5-4392-C66D-E8275AF19C4B\\\BthsxRes'...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' iex ([System.Text.Encoding]::ASCII.GetString(( gp "HKCU:Software\AppDataLow\Software\Microsoft\294256E3-74A5-4392-C66D-E8275AF19C4B").AUDI9_29))' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sq8vzal1.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES53E.tmp" "%TEMP%\CSC52E.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sccgbdds.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES722.tmp" "%TEMP%\CSC711.tmp"' (со скрытым окном)
'<SYSTEM32>\rundll32.exe' Shell32.dll,Control_RunDLL -h' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C pause dll mail, ,' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\mshta.exe' "about:<hta:application><script>resizeTo(1,1);eval(new ActiveXObject('WScript.Shell').regread('HKCU\\\Software\\AppDataLow\\Software\\Microsoft\\294256E3-74A5-4392-C66D-E8275AF19C4B\\\BthsxRes'...
'<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\9B40.bin1"
'<SYSTEM32>\systeminfo.exe'
'%WINDIR%\syswow64\cmd.exe' /C pause dll mail, ,
'<SYSTEM32>\makecab.exe' /F "%TEMP%\6C1A.bin"
'<SYSTEM32>\cmd.exe' /C "systeminfo.exe > %TEMP%\9B40.bin1"
'<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\4B14.bi1"
'<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\4B14.bi1"
'<SYSTEM32>\rundll32.exe' Shell32.dll,Control_RunDLL -h
'<SYSTEM32>\control.exe' -h
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES722.tmp" "%TEMP%\CSC711.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sccgbdds.cmdline"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES53E.tmp" "%TEMP%\CSC52E.tmp"
'%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sq8vzal1.cmdline"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' iex ([System.Text.Encoding]::ASCII.GetString(( gp "HKCU:Software\AppDataLow\Software\Microsoft\294256E3-74A5-4392-C66D-E8275AF19C4B").AUDI9_29))
'<SYSTEM32>\cmd.exe' /C "net view >> %TEMP%\9B40.bin1"
'<SYSTEM32>\net.exe' view