Trojan.DownLoader38.22921

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-d3tc7.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\facilis\labore\is-cilem.tmp
%ProgramFiles(x86)%\facilis\labore\is-bbk93.tmp
%ProgramFiles(x86)%\facilis\labore\is-1m10r.tmp
%ProgramFiles(x86)%\facilis\labore\is-9mav1.tmp
%ProgramFiles(x86)%\facilis\labore\is-dlfcn.tmp
%ProgramFiles(x86)%\facilis\labore\is-6sdsg.tmp
%ProgramFiles(x86)%\facilis\labore\is-406cg.tmp
%ProgramFiles(x86)%\facilis\labore\is-46nji.tmp
%ProgramFiles(x86)%\facilis\et\is-mrlgk.tmp
%ProgramFiles(x86)%\facilis\et\is-agm7g.tmp
%ProgramFiles(x86)%\facilis\labore\is-817nu.tmp
%ProgramFiles(x86)%\facilis\et\is-4p1pn.tmp
%ProgramFiles(x86)%\facilis\et\is-oja2m.tmp
%ProgramFiles(x86)%\facilis\cupiditate\is-mnc5a.tmp
%ProgramFiles(x86)%\facilis\cupiditate\is-54nqm.tmp
%ProgramFiles(x86)%\facilis\cupiditate\is-gsvu0.tmp
%ProgramFiles(x86)%\facilis\cupiditate\is-4bgf4.tmp
%ProgramFiles(x86)%\facilis\is-6rl56.tmp
%ProgramFiles(x86)%\facilis\is-r5r5l.tmp
%TEMP%\is-9at2d.tmp\_isetup\_iscrypt.dll
%TEMP%\is-9at2d.tmp\_isetup\_shfoldr.dll
%TEMP%\is-9at2d.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\facilis\et\is-o90uq.tmp
%ProgramFiles(x86)%\facilis\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\facilis\is-r5r5l.tmp в %ProgramFiles(x86)%\facilis\unins000.exe
%ProgramFiles(x86)%\facilis\labore\is-bbk93.tmp в %ProgramFiles(x86)%\facilis\labore\saepe.hta
%ProgramFiles(x86)%\facilis\labore\is-1m10r.tmp в %ProgramFiles(x86)%\facilis\labore\rerum.bat
%ProgramFiles(x86)%\facilis\labore\is-9mav1.tmp в %ProgramFiles(x86)%\facilis\labore\quis.exe
%ProgramFiles(x86)%\facilis\labore\is-dlfcn.tmp в %ProgramFiles(x86)%\facilis\labore\quibusdam.wpd
%ProgramFiles(x86)%\facilis\labore\is-6sdsg.tmp в %ProgramFiles(x86)%\facilis\labore\iure.wav
%ProgramFiles(x86)%\facilis\labore\is-406cg.tmp в %ProgramFiles(x86)%\facilis\labore\et.wav
%ProgramFiles(x86)%\facilis\labore\is-46nji.tmp в %ProgramFiles(x86)%\facilis\labore\asperiores.msi
%ProgramFiles(x86)%\facilis\et\is-mrlgk.tmp в %ProgramFiles(x86)%\facilis\et\sunt.mp3
%ProgramFiles(x86)%\facilis\et\is-agm7g.tmp в %ProgramFiles(x86)%\facilis\et\ipsa.wps
%ProgramFiles(x86)%\facilis\et\is-4p1pn.tmp в %ProgramFiles(x86)%\facilis\et\et.pif
%ProgramFiles(x86)%\facilis\et\is-o90uq.tmp в %ProgramFiles(x86)%\facilis\et\dolores.wav
%ProgramFiles(x86)%\facilis\et\is-oja2m.tmp в %ProgramFiles(x86)%\facilis\et\dolore.pps
%ProgramFiles(x86)%\facilis\cupiditate\is-mnc5a.tmp в %ProgramFiles(x86)%\facilis\cupiditate\quae.bat
%ProgramFiles(x86)%\facilis\cupiditate\is-54nqm.tmp в %ProgramFiles(x86)%\facilis\cupiditate\numquam.key
%ProgramFiles(x86)%\facilis\cupiditate\is-gsvu0.tmp в %ProgramFiles(x86)%\facilis\cupiditate\et.dat
%ProgramFiles(x86)%\facilis\cupiditate\is-4bgf4.tmp в %ProgramFiles(x86)%\facilis\cupiditate\amet.key
%ProgramFiles(x86)%\facilis\is-6rl56.tmp в %ProgramFiles(x86)%\facilis\totam.sdf
%ProgramFiles(x86)%\facilis\labore\is-cilem.tmp в %ProgramFiles(x86)%\facilis\labore\sed.sdf
%ProgramFiles(x86)%\facilis\labore\is-817nu.tmp в %ProgramFiles(x86)%\facilis\labore\sqlite3.dll

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: '3408DCFD-9A3A-4F80-B277-B44EFB78961D' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-d3tc7.tmp\<Имя файла>.tmp' /SL5="$D0234,2684470,114176,<Полный путь к файлу>"
'%ProgramFiles(x86)%\facilis\labore\quis.exe' acd9a5a7902f54d686e8dd39acf67fa8