Trojan.DownLoader38.13921

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-dcem8.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\fugit\veniam\is-cd3sm.tmp
%ProgramFiles(x86)%\fugit\veniam\is-76kvq.tmp
%ProgramFiles(x86)%\fugit\veniam\is-qclr9.tmp
%ProgramFiles(x86)%\fugit\ut\is-u8ik7.tmp
%ProgramFiles(x86)%\fugit\ut\is-i8tp8.tmp
%ProgramFiles(x86)%\fugit\ut\is-249nn.tmp
%ProgramFiles(x86)%\fugit\ut\is-25hj2.tmp
%ProgramFiles(x86)%\fugit\ut\is-fs39i.tmp
%ProgramFiles(x86)%\fugit\occaecati\is-95rla.tmp
%ProgramFiles(x86)%\fugit\occaecati\is-434ca.tmp
%ProgramFiles(x86)%\fugit\occaecati\is-39n6v.tmp
%ProgramFiles(x86)%\fugit\occaecati\is-k2q7o.tmp
%ProgramFiles(x86)%\fugit\occaecati\is-7fp35.tmp
%ProgramFiles(x86)%\fugit\magni\is-0h8qt.tmp
%ProgramFiles(x86)%\fugit\magni\is-14p39.tmp
%ProgramFiles(x86)%\fugit\magni\is-fjvu1.tmp
%ProgramFiles(x86)%\fugit\magni\is-3ofp1.tmp
%ProgramFiles(x86)%\fugit\is-q6qkl.tmp
%ProgramFiles(x86)%\fugit\is-a9so8.tmp
%ProgramFiles(x86)%\fugit\is-24dfk.tmp
%TEMP%\is-lt9h4.tmp\_isetup\_iscrypt.dll
%TEMP%\is-lt9h4.tmp\_isetup\_shfoldr.dll
%TEMP%\is-lt9h4.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\fugit\veniam\is-timce.tmp
%ProgramFiles(x86)%\fugit\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\fugit\is-24dfk.tmp в %ProgramFiles(x86)%\fugit\unins000.exe
%ProgramFiles(x86)%\fugit\veniam\is-76kvq.tmp в %ProgramFiles(x86)%\fugit\veniam\illo.avi
%ProgramFiles(x86)%\fugit\veniam\is-qclr9.tmp в %ProgramFiles(x86)%\fugit\veniam\culpa.avi
%ProgramFiles(x86)%\fugit\ut\is-u8ik7.tmp в %ProgramFiles(x86)%\fugit\ut\sqlite3.dll
%ProgramFiles(x86)%\fugit\ut\is-i8tp8.tmp в %ProgramFiles(x86)%\fugit\ut\saepe.exe
%ProgramFiles(x86)%\fugit\ut\is-249nn.tmp в %ProgramFiles(x86)%\fugit\ut\quos.zip
%ProgramFiles(x86)%\fugit\ut\is-25hj2.tmp в %ProgramFiles(x86)%\fugit\ut\eaque.msi
%ProgramFiles(x86)%\fugit\ut\is-fs39i.tmp в %ProgramFiles(x86)%\fugit\ut\doloremque.tex
%ProgramFiles(x86)%\fugit\occaecati\is-95rla.tmp в %ProgramFiles(x86)%\fugit\occaecati\quibusdam.txt
%ProgramFiles(x86)%\fugit\veniam\is-cd3sm.tmp в %ProgramFiles(x86)%\fugit\veniam\similique.hta
%ProgramFiles(x86)%\fugit\occaecati\is-434ca.tmp в %ProgramFiles(x86)%\fugit\occaecati\occaecati.png
%ProgramFiles(x86)%\fugit\occaecati\is-k2q7o.tmp в %ProgramFiles(x86)%\fugit\occaecati\et.rar
%ProgramFiles(x86)%\fugit\occaecati\is-7fp35.tmp в %ProgramFiles(x86)%\fugit\occaecati\eos.wav
%ProgramFiles(x86)%\fugit\magni\is-0h8qt.tmp в %ProgramFiles(x86)%\fugit\magni\iusto.pif
%ProgramFiles(x86)%\fugit\magni\is-14p39.tmp в %ProgramFiles(x86)%\fugit\magni\et.wpd
%ProgramFiles(x86)%\fugit\magni\is-fjvu1.tmp в %ProgramFiles(x86)%\fugit\magni\earum.wav
%ProgramFiles(x86)%\fugit\magni\is-3ofp1.tmp в %ProgramFiles(x86)%\fugit\magni\aspernatur.zip
%ProgramFiles(x86)%\fugit\is-q6qkl.tmp в %ProgramFiles(x86)%\fugit\qui.txt
%ProgramFiles(x86)%\fugit\is-a9so8.tmp в %ProgramFiles(x86)%\fugit\aut.mp3
%ProgramFiles(x86)%\fugit\occaecati\is-39n6v.tmp в %ProgramFiles(x86)%\fugit\occaecati\laudantium.png
%ProgramFiles(x86)%\fugit\veniam\is-timce.tmp в %ProgramFiles(x86)%\fugit\veniam\ut.7z

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: 'A857BBFD-8A6F-41A8-8E0F-C54FB4B79982' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-dcem8.tmp\<Имя файла>.tmp' /SL5="$140228,2912987,114176,<Полный путь к файлу>"
'%ProgramFiles(x86)%\fugit\ut\saepe.exe' ab6ac75ee1d03a75ae2b0ae72eeed2fa