Trojan.DownLoader38.22917

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-cvcpm.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\enim\veniam\is-gqn0m.tmp
%ProgramFiles(x86)%\enim\veniam\is-d537l.tmp
%ProgramFiles(x86)%\enim\sint\is-050rm.tmp
%ProgramFiles(x86)%\enim\sint\is-fukro.tmp
%ProgramFiles(x86)%\enim\reiciendis\is-r9857.tmp
%ProgramFiles(x86)%\enim\reiciendis\is-cueob.tmp
%ProgramFiles(x86)%\enim\reiciendis\is-t9b61.tmp
%ProgramFiles(x86)%\enim\reiciendis\is-2i95k.tmp
%ProgramFiles(x86)%\enim\est\is-nm866.tmp
%ProgramFiles(x86)%\enim\est\is-lr7hu.tmp
%ProgramFiles(x86)%\enim\est\is-nm4eu.tmp
%ProgramFiles(x86)%\enim\est\is-vt0c0.tmp
%ProgramFiles(x86)%\enim\est\is-4tdss.tmp
%ProgramFiles(x86)%\enim\est\is-i0tcm.tmp
%ProgramFiles(x86)%\enim\est\is-1rr1m.tmp
%ProgramFiles(x86)%\enim\dolorem\is-7j8h5.tmp
%ProgramFiles(x86)%\enim\dolorem\is-bbdmg.tmp
%ProgramFiles(x86)%\enim\is-1ap4q.tmp
%ProgramFiles(x86)%\enim\is-24rth.tmp
%ProgramFiles(x86)%\enim\is-kqlra.tmp
%TEMP%\is-pp3ka.tmp\_isetup\_iscrypt.dll
%TEMP%\is-pp3ka.tmp\_isetup\_shfoldr.dll
%TEMP%\is-pp3ka.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\enim\veniam\is-9m9g5.tmp
%ProgramFiles(x86)%\enim\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\enim\is-kqlra.tmp в %ProgramFiles(x86)%\enim\unins000.exe
%ProgramFiles(x86)%\enim\veniam\is-d537l.tmp в %ProgramFiles(x86)%\enim\veniam\in.msi
%ProgramFiles(x86)%\enim\sint\is-050rm.tmp в %ProgramFiles(x86)%\enim\sint\sit.txt
%ProgramFiles(x86)%\enim\sint\is-fukro.tmp в %ProgramFiles(x86)%\enim\sint\exercitationem.key
%ProgramFiles(x86)%\enim\reiciendis\is-r9857.tmp в %ProgramFiles(x86)%\enim\reiciendis\sqlite3.dll
%ProgramFiles(x86)%\enim\reiciendis\is-cueob.tmp в %ProgramFiles(x86)%\enim\reiciendis\reprehenderit.msi
%ProgramFiles(x86)%\enim\reiciendis\is-t9b61.tmp в %ProgramFiles(x86)%\enim\reiciendis\nesciunt.wps
%ProgramFiles(x86)%\enim\reiciendis\is-2i95k.tmp в %ProgramFiles(x86)%\enim\reiciendis\eveniet.exe
%ProgramFiles(x86)%\enim\est\is-nm866.tmp в %ProgramFiles(x86)%\enim\est\ut.bat
%ProgramFiles(x86)%\enim\veniam\is-gqn0m.tmp в %ProgramFiles(x86)%\enim\veniam\odio.hta
%ProgramFiles(x86)%\enim\est\is-lr7hu.tmp в %ProgramFiles(x86)%\enim\est\sunt.pdf
%ProgramFiles(x86)%\enim\est\is-vt0c0.tmp в %ProgramFiles(x86)%\enim\est\quidem.key
%ProgramFiles(x86)%\enim\est\is-4tdss.tmp в %ProgramFiles(x86)%\enim\est\et.html
%ProgramFiles(x86)%\enim\est\is-i0tcm.tmp в %ProgramFiles(x86)%\enim\est\eos.bin
%ProgramFiles(x86)%\enim\est\is-1rr1m.tmp в %ProgramFiles(x86)%\enim\est\doloribus.avi
%ProgramFiles(x86)%\enim\dolorem\is-7j8h5.tmp в %ProgramFiles(x86)%\enim\dolorem\vitae.7z
%ProgramFiles(x86)%\enim\dolorem\is-bbdmg.tmp в %ProgramFiles(x86)%\enim\dolorem\enim.asf
%ProgramFiles(x86)%\enim\is-1ap4q.tmp в %ProgramFiles(x86)%\enim\id.html
%ProgramFiles(x86)%\enim\is-24rth.tmp в %ProgramFiles(x86)%\enim\blanditiis.mp3
%ProgramFiles(x86)%\enim\est\is-nm4eu.tmp в %ProgramFiles(x86)%\enim\est\repellendus.msi
%ProgramFiles(x86)%\enim\veniam\is-9m9g5.tmp в %ProgramFiles(x86)%\enim\veniam\ut.hta

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: '820466B2-5B71-469E-BA7D-9CB8A224AB8A' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-cvcpm.tmp\<Имя файла>.tmp' /SL5="$90236,2683137,114176,<Полный путь к файлу>"
'%ProgramFiles(x86)%\enim\reiciendis\eveniet.exe' 625d334362683a16805f637210710842