Trojan.DownLoader38.13068

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-p1s5m.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\corporis\vero\is-ooec1.tmp
%ProgramFiles(x86)%\corporis\vero\is-guu3d.tmp
%ProgramFiles(x86)%\corporis\vero\is-mdpco.tmp
%ProgramFiles(x86)%\corporis\vero\is-c54kl.tmp
%ProgramFiles(x86)%\corporis\vero\is-vmpkt.tmp
%ProgramFiles(x86)%\corporis\qui\is-fb006.tmp
%ProgramFiles(x86)%\corporis\qui\is-k9thg.tmp
%ProgramFiles(x86)%\corporis\qui\is-lc3ld.tmp
%ProgramFiles(x86)%\corporis\assumenda\is-rg0or.tmp
%ProgramFiles(x86)%\corporis\assumenda\is-dnnbv.tmp
%ProgramFiles(x86)%\corporis\vero\is-ja3ba.tmp
%ProgramFiles(x86)%\corporis\assumenda\is-8l7sf.tmp
%ProgramFiles(x86)%\corporis\assumenda\is-p6ab4.tmp
%ProgramFiles(x86)%\corporis\assumenda\is-q1th1.tmp
%ProgramFiles(x86)%\corporis\is-fsf2s.tmp
%ProgramFiles(x86)%\corporis\is-pac23.tmp
%ProgramFiles(x86)%\corporis\is-8eviv.tmp
%ProgramFiles(x86)%\corporis\is-sm5tj.tmp
%ProgramFiles(x86)%\corporis\is-uuldv.tmp
%TEMP%\is-7hgqg.tmp\_isetup\_iscrypt.dll
%TEMP%\is-7hgqg.tmp\_isetup\_shfoldr.dll
%TEMP%\is-7hgqg.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\corporis\assumenda\is-u59dq.tmp
%ProgramFiles(x86)%\corporis\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\corporis\is-uuldv.tmp в %ProgramFiles(x86)%\corporis\unins000.exe
%ProgramFiles(x86)%\corporis\vero\is-guu3d.tmp в %ProgramFiles(x86)%\corporis\vero\iusto.asf
%ProgramFiles(x86)%\corporis\vero\is-mdpco.tmp в %ProgramFiles(x86)%\corporis\vero\excepturi.exe
%ProgramFiles(x86)%\corporis\vero\is-c54kl.tmp в %ProgramFiles(x86)%\corporis\vero\ex.pif
%ProgramFiles(x86)%\corporis\vero\is-vmpkt.tmp в %ProgramFiles(x86)%\corporis\vero\amet.avi
%ProgramFiles(x86)%\corporis\qui\is-fb006.tmp в %ProgramFiles(x86)%\corporis\qui\sapiente.png
%ProgramFiles(x86)%\corporis\qui\is-k9thg.tmp в %ProgramFiles(x86)%\corporis\qui\assumenda.txt
%ProgramFiles(x86)%\corporis\qui\is-lc3ld.tmp в %ProgramFiles(x86)%\corporis\qui\accusantium.bin
%ProgramFiles(x86)%\corporis\assumenda\is-rg0or.tmp в %ProgramFiles(x86)%\corporis\assumenda\voluptatem.bat
%ProgramFiles(x86)%\corporis\assumenda\is-dnnbv.tmp в %ProgramFiles(x86)%\corporis\assumenda\veniam.avi
%ProgramFiles(x86)%\corporis\assumenda\is-8l7sf.tmp в %ProgramFiles(x86)%\corporis\assumenda\quasi.mp4
%ProgramFiles(x86)%\corporis\assumenda\is-u59dq.tmp в %ProgramFiles(x86)%\corporis\assumenda\eos.7z
%ProgramFiles(x86)%\corporis\assumenda\is-p6ab4.tmp в %ProgramFiles(x86)%\corporis\assumenda\ea.tex
%ProgramFiles(x86)%\corporis\assumenda\is-q1th1.tmp в %ProgramFiles(x86)%\corporis\assumenda\aperiam.htm
%ProgramFiles(x86)%\corporis\is-fsf2s.tmp в %ProgramFiles(x86)%\corporis\ut.bat
%ProgramFiles(x86)%\corporis\is-pac23.tmp в %ProgramFiles(x86)%\corporis\tempora.bin
%ProgramFiles(x86)%\corporis\is-8eviv.tmp в %ProgramFiles(x86)%\corporis\quam.dat
%ProgramFiles(x86)%\corporis\is-sm5tj.tmp в %ProgramFiles(x86)%\corporis\neque.rar
%ProgramFiles(x86)%\corporis\vero\is-ooec1.tmp в %ProgramFiles(x86)%\corporis\vero\tempora.msi
%ProgramFiles(x86)%\corporis\vero\is-ja3ba.tmp в %ProgramFiles(x86)%\corporis\vero\sqlite3.dll

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: 'A857BBFD-8A6F-41A8-8E0F-C54FB4B79982' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-p1s5m.tmp\<Имя файла>.tmp' /SL5="$C0230,2940792,140800,<Полный путь к файлу>"
'%ProgramFiles(x86)%\corporis\vero\excepturi.exe' aa82a6a87a74210848e00366dc0d30bc