Trojan.DownLoader37.63541

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\System\CurrentControlSet\Control\Session Manager] 'BootExecute' = 'autocheck autochk *\nicarus_rvrt.exe'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\privax\icarus\logs\sfx.log.tmp.945b98be-fbc9-4e0d-bf1c-4c3b5fb8be19
%ALLUSERSPROFILE%\privax\icarus\logs\icarus.log.tmp.11c8b7b2-8a0c-46d9-9269-8cc048e2fbeb
%ALLUSERSPROFILE%\privax\icarus\logs\icarus.log
%ALLUSERSPROFILE%\privax\icarus\logs\report.log
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\icarus.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\icarus_ui.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\icarus_rvrt.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus_rvrt.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\icarus_product.dll
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\bug_report.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\product-def.xml
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\setupui.cont
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\product-info.xml
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\config.def
<SYSTEM32>\icarus_rvrt.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\ecoo.edat
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\icarus-info.xml
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\setupui.cont
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\1d3c8cb9-fd7f-4b69-b99b-3464cd1b6f13
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\product-def.xml
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\a67da1b3-ebaf-4214-8e36-7a736bf534e6
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\product-info.xml
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\83e663fa-f746-41e5-bb44-93510e5df131
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\af3be72c-d730-458c-ac1d-040967a7dbcc
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus_ui.exe
%ALLUSERSPROFILE%\privax\icarus\logs\sui.log.tmp.b37570f3-3376-41be-90a3-4ef7443e974f
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\dump_process.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\46114ba9-1cc6-4f1a-96cb-8389243f390f
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus_product.dll
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\fc7b3710-0830-405f-a41f-6646f9ef1bfd
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\dump_process.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\11b8387b-a68c-416e-9b79-21611427816e
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\bug_report.exe
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\f92c9eff-f033-4b79-9068-21f5713e7427
%ALLUSERSPROFILE%\privax\icarus\logs\sfx.log
%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\e44c8537-b798-467a-8c8c-5d6b833d86ed
%ALLUSERSPROFILE%\privax\icarus\logs\sui.log

Перемещает следующие файлы

%ALLUSERSPROFILE%\privax\icarus\logs\sfx.log.tmp.945b98be-fbc9-4e0d-bf1c-4c3b5fb8be19 в %ALLUSERSPROFILE%\privax\icarus\logs\sfx.log
%ALLUSERSPROFILE%\privax\icarus\logs\icarus.log.tmp.11c8b7b2-8a0c-46d9-9269-8cc048e2fbeb в %ALLUSERSPROFILE%\privax\icarus\logs\icarus.log
%ALLUSERSPROFILE%\privax\icarus\logs\sui.log.tmp.b37570f3-3376-41be-90a3-4ef7443e974f в %ALLUSERSPROFILE%\privax\icarus\logs\sui.log

Сетевая активность

Подключается к

'an#####cs.ff.avast.com':443
'ho####.avcdn.net':443
'ho####.avcdn.net':80
'sh#####d.ff.avast.com':443

TCP

'an#####cs.ff.avast.com':443
'ho####.avcdn.net':443
'sh#####d.ff.avast.com':443

UDP

DNS ASK an#####cs.ff.avast.com
DNS ASK ho####.avcdn.net
DNS ASK sh#####d.ff.avast.com

Другое

Создает и запускает на исполнение

'%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus.exe' /icarus-info-path:%WINDIR%\Temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\icarus-info.xml /install /sssid:1864
'%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\icarus.exe' /sssid:1864 /er_master:master_ep_15e14125-52ea-4fc8-936e-bed462a806a8 /er_ui:ui_ep_8db0d4f5-582e-423a-9e48-db712887e84f /er_slave:privax-vpn_slave_ep_5d1ca473-44cf-4846-b7d4-c2bd678adf44 /slave...
'%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus_ui.exe' /sssid:1864 /er_master:master_ep_15e14125-52ea-4fc8-936e-bed462a806a8 /er_ui:ui_ep_8db0d4f5-582e-423a-9e48-db712887e84f
'%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\privax-vpn\icarus.exe' /sssid:1864 /er_master:master_ep_15e14125-52ea-4fc8-936e-bed462a806a8 /er_ui:ui_ep_8db0d4f5-582e-423a-9e48-db712887e84f /er_slave:privax-vpn_slave_ep_5d1ca473-44cf-4846-b7d4-c2bd678adf44 /slave...' (со скрытым окном)
'%WINDIR%\temp\asw-c7d4818a-7127-4ac3-9464-3ab2b87a98fb\common\icarus_ui.exe' /sssid:1864 /er_master:master_ep_15e14125-52ea-4fc8-936e-bed462a806a8 /er_ui:ui_ep_8db0d4f5-582e-423a-9e48-db712887e84f' (со скрытым окном)