Trojan.DownLoader38.21208

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-3pc6s.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\sed\voluptatem\is-llfje.tmp
%ProgramFiles(x86)%\sed\voluptatem\is-t8e86.tmp
%ProgramFiles(x86)%\sed\voluptatem\is-2mibq.tmp
%ProgramFiles(x86)%\sed\voluptatem\is-2pc26.tmp
%ProgramFiles(x86)%\sed\is-dij9m.tmp
%ProgramFiles(x86)%\sed\quod\is-385fl.tmp
%ProgramFiles(x86)%\sed\quod\is-cvddt.tmp
%ProgramFiles(x86)%\sed\quod\is-31ogp.tmp
%ProgramFiles(x86)%\sed\quod\is-slpod.tmp
%ProgramFiles(x86)%\sed\porro\is-etkc0.tmp
%ProgramFiles(x86)%\sed\porro\is-hl6ai.tmp
%ProgramFiles(x86)%\sed\porro\is-sch7u.tmp
%ProgramFiles(x86)%\sed\porro\is-cm7or.tmp
%ProgramFiles(x86)%\sed\porro\is-870lf.tmp
%ProgramFiles(x86)%\sed\porro\is-md9d2.tmp
%ProgramFiles(x86)%\sed\is-h2a9q.tmp
%ProgramFiles(x86)%\sed\is-tavo7.tmp
%ProgramFiles(x86)%\sed\is-8r98b.tmp
%ProgramFiles(x86)%\sed\is-ju1kk.tmp
%ProgramFiles(x86)%\sed\is-untso.tmp
%ProgramFiles(x86)%\sed\is-kmbnq.tmp
%ProgramFiles(x86)%\sed\is-op84s.tmp
%TEMP%\is-meikh.tmp\_isetup\_iscrypt.dll
%TEMP%\is-meikh.tmp\_isetup\_shfoldr.dll
%TEMP%\is-meikh.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\sed\voluptatem\is-oubtq.tmp
%ProgramFiles(x86)%\sed\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\sed\is-op84s.tmp в %ProgramFiles(x86)%\sed\unins000.exe
%ProgramFiles(x86)%\sed\voluptatem\is-t8e86.tmp в %ProgramFiles(x86)%\sed\voluptatem\libero.zip
%ProgramFiles(x86)%\sed\voluptatem\is-2mibq.tmp в %ProgramFiles(x86)%\sed\voluptatem\corporis.png
%ProgramFiles(x86)%\sed\voluptatem\is-2pc26.tmp в %ProgramFiles(x86)%\sed\voluptatem\aut.txt
%ProgramFiles(x86)%\sed\is-dij9m.tmp в %ProgramFiles(x86)%\sed\sqlite3.dll
%ProgramFiles(x86)%\sed\quod\is-385fl.tmp в %ProgramFiles(x86)%\sed\quod\sint.msi
%ProgramFiles(x86)%\sed\quod\is-cvddt.tmp в %ProgramFiles(x86)%\sed\quod\labore.key
%ProgramFiles(x86)%\sed\quod\is-31ogp.tmp в %ProgramFiles(x86)%\sed\quod\est.avi
%ProgramFiles(x86)%\sed\quod\is-slpod.tmp в %ProgramFiles(x86)%\sed\quod\cupiditate.pps
%ProgramFiles(x86)%\sed\porro\is-etkc0.tmp в %ProgramFiles(x86)%\sed\porro\voluptatem.mp3
%ProgramFiles(x86)%\sed\voluptatem\is-llfje.tmp в %ProgramFiles(x86)%\sed\voluptatem\quia.log
%ProgramFiles(x86)%\sed\porro\is-hl6ai.tmp в %ProgramFiles(x86)%\sed\porro\quos.key
%ProgramFiles(x86)%\sed\porro\is-cm7or.tmp в %ProgramFiles(x86)%\sed\porro\nostrum.msi
%ProgramFiles(x86)%\sed\porro\is-870lf.tmp в %ProgramFiles(x86)%\sed\porro\dignissimos.wpd
%ProgramFiles(x86)%\sed\porro\is-md9d2.tmp в %ProgramFiles(x86)%\sed\porro\consequatur.hta
%ProgramFiles(x86)%\sed\is-h2a9q.tmp в %ProgramFiles(x86)%\sed\sunt.txt
%ProgramFiles(x86)%\sed\is-tavo7.tmp в %ProgramFiles(x86)%\sed\maiores.dat
%ProgramFiles(x86)%\sed\is-8r98b.tmp в %ProgramFiles(x86)%\sed\itaque.exe
%ProgramFiles(x86)%\sed\is-ju1kk.tmp в %ProgramFiles(x86)%\sed\dolorem.zip
%ProgramFiles(x86)%\sed\is-untso.tmp в %ProgramFiles(x86)%\sed\consectetur.log
%ProgramFiles(x86)%\sed\is-kmbnq.tmp в %ProgramFiles(x86)%\sed\aut.pif
%ProgramFiles(x86)%\sed\porro\is-sch7u.tmp в %ProgramFiles(x86)%\sed\porro\qui.rar
%ProgramFiles(x86)%\sed\voluptatem\is-oubtq.tmp в %ProgramFiles(x86)%\sed\voluptatem\quia.png

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Создает и запускает на исполнение

'%TEMP%\is-3pc6s.tmp\<Имя файла>.tmp' /SL5="$12022C,2621058,140800,<Полный путь к файлу>"
'%ProgramFiles(x86)%\sed\itaque.exe' c3460c18a38577e2e90620f2d3243a1f