Trojan.DownLoader38.1308

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-7vpgr.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\expedita\sit\is-5j2fd.tmp
%ProgramFiles(x86)%\expedita\sit\is-fhvcd.tmp
%ProgramFiles(x86)%\expedita\sit\is-7g1dl.tmp
%ProgramFiles(x86)%\expedita\sit\is-6dc95.tmp
%ProgramFiles(x86)%\expedita\quae\is-e9mk3.tmp
%ProgramFiles(x86)%\expedita\nobis\is-qiq0b.tmp
%ProgramFiles(x86)%\expedita\nobis\is-kouf1.tmp
%ProgramFiles(x86)%\expedita\nobis\is-a1t7k.tmp
%ProgramFiles(x86)%\expedita\nobis\is-gopm0.tmp
%ProgramFiles(x86)%\expedita\libero\is-7ommt.tmp
%ProgramFiles(x86)%\expedita\libero\is-t63do.tmp
%ProgramFiles(x86)%\expedita\libero\is-m7u2c.tmp
%ProgramFiles(x86)%\expedita\libero\is-0cpqb.tmp
%ProgramFiles(x86)%\expedita\is-e6t4c.tmp
%ProgramFiles(x86)%\expedita\is-0ht11.tmp
%ProgramFiles(x86)%\expedita\is-n3fnk.tmp
%ProgramFiles(x86)%\expedita\is-668qc.tmp
%ProgramFiles(x86)%\expedita\is-73s10.tmp
%ProgramFiles(x86)%\expedita\is-gjck5.tmp
%ProgramFiles(x86)%\expedita\is-7gn9l.tmp
%ProgramFiles(x86)%\expedita\is-1063d.tmp
%ProgramFiles(x86)%\expedita\is-q7b90.tmp
%TEMP%\is-r126c.tmp\_isetup\_iscrypt.dll
%TEMP%\is-r126c.tmp\_isetup\_shfoldr.dll
%TEMP%\is-r126c.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\expedita\is-2uscm.tmp
%ProgramFiles(x86)%\expedita\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\expedita\is-q7b90.tmp в %ProgramFiles(x86)%\expedita\unins000.exe
%ProgramFiles(x86)%\expedita\sit\is-fhvcd.tmp в %ProgramFiles(x86)%\expedita\sit\non.txt
%ProgramFiles(x86)%\expedita\sit\is-7g1dl.tmp в %ProgramFiles(x86)%\expedita\sit\eligendi.pif
%ProgramFiles(x86)%\expedita\sit\is-6dc95.tmp в %ProgramFiles(x86)%\expedita\sit\commodi.msi
%ProgramFiles(x86)%\expedita\quae\is-e9mk3.tmp в %ProgramFiles(x86)%\expedita\quae\et.ha
%ProgramFiles(x86)%\expedita\nobis\is-qiq0b.tmp в %ProgramFiles(x86)%\expedita\nobis\repellendus.txt
%ProgramFiles(x86)%\expedita\nobis\is-kouf1.tmp в %ProgramFiles(x86)%\expedita\nobis\qui.mp4
%ProgramFiles(x86)%\expedita\nobis\is-a1t7k.tmp в %ProgramFiles(x86)%\expedita\nobis\esse.rar
%ProgramFiles(x86)%\expedita\nobis\is-gopm0.tmp в %ProgramFiles(x86)%\expedita\nobis\ab.rar
%ProgramFiles(x86)%\expedita\libero\is-7ommt.tmp в %ProgramFiles(x86)%\expedita\libero\sit.dat
%ProgramFiles(x86)%\expedita\sit\is-5j2fd.tmp в %ProgramFiles(x86)%\expedita\sit\voluptatum.zip
%ProgramFiles(x86)%\expedita\libero\is-t63do.tmp в %ProgramFiles(x86)%\expedita\libero\nulla.bat
%ProgramFiles(x86)%\expedita\libero\is-0cpqb.tmp в %ProgramFiles(x86)%\expedita\libero\consequatur.tex
%ProgramFiles(x86)%\expedita\is-e6t4c.tmp в %ProgramFiles(x86)%\expedita\velit.bin
%ProgramFiles(x86)%\expedita\is-0ht11.tmp в %ProgramFiles(x86)%\expedita\sit.pif
%ProgramFiles(x86)%\expedita\is-n3fnk.tmp в %ProgramFiles(x86)%\expedita\quo.pif
%ProgramFiles(x86)%\expedita\is-668qc.tmp в %ProgramFiles(x86)%\expedita\nesciunt.7z
%ProgramFiles(x86)%\expedita\is-73s10.tmp в %ProgramFiles(x86)%\expedita\facilis.exe
%ProgramFiles(x86)%\expedita\is-gjck5.tmp в %ProgramFiles(x86)%\expedita\explicabo.asf
%ProgramFiles(x86)%\expedita\is-7gn9l.tmp в %ProgramFiles(x86)%\expedita\et.log
%ProgramFiles(x86)%\expedita\is-1063d.tmp в %ProgramFiles(x86)%\expedita\dolorum.avi
%ProgramFiles(x86)%\expedita\libero\is-m7u2c.tmp в %ProgramFiles(x86)%\expedita\libero\earum.wpd
%ProgramFiles(x86)%\expedita\is-2uscm.tmp в %ProgramFiles(x86)%\expedita\sqlite3.dll

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: '962F28A8-6AB7-401B-BF07-5A0013DD3E49' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-7vpgr.tmp\<Имя файла>.tmp' /SL5="$C022C,3427206,140800,<Полный путь к файлу>"
'%ProgramFiles(x86)%\expedita\facilis.exe' f5e75815c145a9aba9674bab7c3f0c87