Trojan.DownLoader38.17969

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'

Вредоносные функции

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра

[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
[<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei29162\rat.exe.manifest
%TEMP%\_mei29162\api-ms-win-core-timezone-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-util-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-conio-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-convert-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-environment-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-filesystem-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-heap-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-locale-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-math-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-process-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-synch-l1-2-0.dll
%TEMP%\_mei29162\api-ms-win-core-sysinfo-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-runtime-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-time-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-utility-l1-1-0.dll
%TEMP%\_mei29162\libcrypto-1_1.dll
%TEMP%\_mei29162\libssl-1_1.dll
%TEMP%\_mei29162\pyexpat.pyd
%TEMP%\_mei29162\python37.dll
%TEMP%\_mei29162\select.pyd
%TEMP%\_mei29162\ucrtbase.dll
%TEMP%\_mei29162\unicodedata.pyd
%TEMP%\_mei29162\base_library.zip
%TEMP%\_mei29162\api-ms-win-crt-stdio-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-crt-string-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-synch-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-string-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-rtlsupport-l1-1-0.dll
%TEMP%\_mei29162\_bz2.pyd
%TEMP%\_mei29162\_hashlib.pyd
%TEMP%\_mei29162\_lzma.pyd
%TEMP%\_mei29162\_queue.pyd
%TEMP%\_mei29162\_socket.pyd
%TEMP%\_mei29162\_ssl.pyd
%TEMP%\_mei29162\api-ms-win-core-console-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-datetime-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-debug-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-errorhandling-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-file-l1-1-0.dll
%TEMP%\_mei29162\vcruntime140.dll
%TEMP%\_mei29162\api-ms-win-core-file-l1-2-0.dll
%TEMP%\_mei29162\api-ms-win-core-handle-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-heap-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-interlocked-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-libraryloader-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-localization-l1-2-0.dll
%TEMP%\_mei29162\api-ms-win-core-memory-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-namedpipe-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-processenvironment-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-processthreads-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-processthreads-l1-1-1.dll
%TEMP%\_mei29162\api-ms-win-core-profile-l1-1-0.dll
%TEMP%\_mei29162\api-ms-win-core-file-l2-1-0.dll
%TEMP%\_mei29162\certifi\cacert.pem
<Текущая директория>\svchost.exe

Сетевая активность

Подключается к

'a0####63.xsph.ru':80

UDP

DNS ASK a0####63.xsph.ru

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cmd /c netsh advfirewall set allprofiles state off
'<SYSTEM32>\cmd.exe' /c netsh advfirewall set allprofiles state off
'<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
'<SYSTEM32>\cmd.exe' /c cmd /c sc stop WinDefend
'<SYSTEM32>\cmd.exe' /c sc stop WinDefend
'<SYSTEM32>\sc.exe' stop WinDefend
'<SYSTEM32>\cmd.exe' /c powershell Set-ItemProperty -Path REGISTRY::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System -Name EnableLUA -Value 0
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-ItemProperty -Path REGISTRY::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System -Name EnableLUA -Value 0
'<SYSTEM32>\cmd.exe' /c cmd /c start C:/Users/%USERNAME%/Desktop/svchost.exe
'<SYSTEM32>\cmd.exe' /c start C:/Users/user/Desktop/svchost.exe