Trojan.DownLoader38.21880

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-5o9vo.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\ex\voluptas\is-tufl5.tmp
%ProgramFiles(x86)%\ex\voluptas\is-3dd70.tmp
%ProgramFiles(x86)%\ex\voluptas\is-3m4qk.tmp
%ProgramFiles(x86)%\ex\voluptas\is-noj5j.tmp
%ProgramFiles(x86)%\ex\sint\is-v0q6k.tmp
%ProgramFiles(x86)%\ex\sint\is-uvke9.tmp
%ProgramFiles(x86)%\ex\sint\is-puvjs.tmp
%ProgramFiles(x86)%\ex\sint\is-qtgpk.tmp
%ProgramFiles(x86)%\ex\rerum\is-oif78.tmp
%ProgramFiles(x86)%\ex\rerum\is-cqrld.tmp
%ProgramFiles(x86)%\ex\rerum\is-0gi9t.tmp
%ProgramFiles(x86)%\ex\ratione\is-qqmml.tmp
%ProgramFiles(x86)%\ex\ratione\is-3s6j8.tmp
%ProgramFiles(x86)%\ex\ratione\is-4iirk.tmp
%ProgramFiles(x86)%\ex\ratione\is-7oo2u.tmp
%ProgramFiles(x86)%\ex\ratione\is-htrtr.tmp
%ProgramFiles(x86)%\ex\is-nv3as.tmp
%ProgramFiles(x86)%\ex\is-u1ik4.tmp
%ProgramFiles(x86)%\ex\is-gvk98.tmp
%ProgramFiles(x86)%\ex\is-02p4g.tmp
%ProgramFiles(x86)%\ex\is-34lid.tmp
%ProgramFiles(x86)%\ex\is-h6m68.tmp
%TEMP%\is-tq4b2.tmp\_isetup\_iscrypt.dll
%TEMP%\is-tq4b2.tmp\_isetup\_shfoldr.dll
%TEMP%\is-tq4b2.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\ex\voluptas\is-qrud8.tmp
%ProgramFiles(x86)%\ex\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\ex\is-h6m68.tmp в %ProgramFiles(x86)%\ex\unins000.exe
%ProgramFiles(x86)%\ex\voluptas\is-3dd70.tmp в %ProgramFiles(x86)%\ex\voluptas\minus.asf
%ProgramFiles(x86)%\ex\voluptas\is-3m4qk.tmp в %ProgramFiles(x86)%\ex\voluptas\in.7z
%ProgramFiles(x86)%\ex\voluptas\is-noj5j.tmp в %ProgramFiles(x86)%\ex\voluptas\et.7z
%ProgramFiles(x86)%\ex\sint\is-v0q6k.tmp в %ProgramFiles(x86)%\ex\sint\qui.sdf
%ProgramFiles(x86)%\ex\sint\is-uvke9.tmp в %ProgramFiles(x86)%\ex\sint\est.pdf
%ProgramFiles(x86)%\ex\sint\is-puvjs.tmp в %ProgramFiles(x86)%\ex\sint\cumque.pif
%ProgramFiles(x86)%\ex\sint\is-qtgpk.tmp в %ProgramFiles(x86)%\ex\sint\aut.txt
%ProgramFiles(x86)%\ex\rerum\is-oif78.tmp в %ProgramFiles(x86)%\ex\rerum\sqlite3.dll
%ProgramFiles(x86)%\ex\rerum\is-cqrld.tmp в %ProgramFiles(x86)%\ex\rerum\eveniet.pif
%ProgramFiles(x86)%\ex\voluptas\is-tufl5.tmp в %ProgramFiles(x86)%\ex\voluptas\nostrum.rar
%ProgramFiles(x86)%\ex\rerum\is-0gi9t.tmp в %ProgramFiles(x86)%\ex\rerum\amet.exe
%ProgramFiles(x86)%\ex\ratione\is-3s6j8.tmp в %ProgramFiles(x86)%\ex\ratione\excepturi.htm
%ProgramFiles(x86)%\ex\ratione\is-4iirk.tmp в %ProgramFiles(x86)%\ex\ratione\eum.sdf
%ProgramFiles(x86)%\ex\ratione\is-7oo2u.tmp в %ProgramFiles(x86)%\ex\ratione\est.log
%ProgramFiles(x86)%\ex\ratione\is-htrtr.tmp в %ProgramFiles(x86)%\ex\ratione\accusamus.bin
%ProgramFiles(x86)%\ex\is-nv3as.tmp в %ProgramFiles(x86)%\ex\rerum.pif
%ProgramFiles(x86)%\ex\is-u1ik4.tmp в %ProgramFiles(x86)%\ex\quam.wav
%ProgramFiles(x86)%\ex\is-gvk98.tmp в %ProgramFiles(x86)%\ex\iste.avi
%ProgramFiles(x86)%\ex\is-02p4g.tmp в %ProgramFiles(x86)%\ex\ea.wps
%ProgramFiles(x86)%\ex\is-34lid.tmp в %ProgramFiles(x86)%\ex\aliquid.ha
%ProgramFiles(x86)%\ex\ratione\is-qqmml.tmp в %ProgramFiles(x86)%\ex\ratione\quasi.pdf
%ProgramFiles(x86)%\ex\voluptas\is-qrud8.tmp в %ProgramFiles(x86)%\ex\voluptas\quisquam.txt

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: 'EA3EFA8E-222F-4175-BD49-8E2C0B25F6D5' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-5o9vo.tmp\<Имя файла>.tmp' /SL5="$15022A,2621359,140800,<Полный путь к файлу>"
'%ProgramFiles(x86)%\ex\rerum\amet.exe' 1cb81c75a5290221ebb5d358b1bf2f63