Trojan.DownLoader38.22557

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-nt2cq.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\distinctio\officia\is-kkmve.tmp
%ProgramFiles(x86)%\distinctio\officia\is-gst8u.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-5fi03.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-dhls6.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-d4fs8.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-u2bna.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-4a3ip.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-augq4.tmp
%ProgramFiles(x86)%\distinctio\molestiae\is-nrfmr.tmp
%ProgramFiles(x86)%\distinctio\officia\is-c7632.tmp
%ProgramFiles(x86)%\distinctio\impedit\is-dgbrk.tmp
%ProgramFiles(x86)%\distinctio\est\is-9ctc4.tmp
%ProgramFiles(x86)%\distinctio\dolore\is-a6m5e.tmp
%ProgramFiles(x86)%\distinctio\dolore\is-i4f75.tmp
%ProgramFiles(x86)%\distinctio\is-k025h.tmp
%ProgramFiles(x86)%\distinctio\is-lgilf.tmp
%ProgramFiles(x86)%\distinctio\is-a9j2a.tmp
%TEMP%\is-s9gv4.tmp\_isetup\_iscrypt.dll
%TEMP%\is-s9gv4.tmp\_isetup\_shfoldr.dll
%TEMP%\is-s9gv4.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\distinctio\impedit\is-favpr.tmp
%ProgramFiles(x86)%\distinctio\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\distinctio\is-a9j2a.tmp в %ProgramFiles(x86)%\distinctio\unins000.exe
%ProgramFiles(x86)%\distinctio\officia\is-gst8u.tmp в %ProgramFiles(x86)%\distinctio\officia\eligendi.pdf
%ProgramFiles(x86)%\distinctio\molestiae\is-5fi03.tmp в %ProgramFiles(x86)%\distinctio\molestiae\sqlite3.dll
%ProgramFiles(x86)%\distinctio\molestiae\is-dhls6.tmp в %ProgramFiles(x86)%\distinctio\molestiae\voluptatem.exe
%ProgramFiles(x86)%\distinctio\molestiae\is-d4fs8.tmp в %ProgramFiles(x86)%\distinctio\molestiae\sunt.txt
%ProgramFiles(x86)%\distinctio\molestiae\is-u2bna.tmp в %ProgramFiles(x86)%\distinctio\molestiae\sit.mp3
%ProgramFiles(x86)%\distinctio\molestiae\is-4a3ip.tmp в %ProgramFiles(x86)%\distinctio\molestiae\nesciunt.html
%ProgramFiles(x86)%\distinctio\molestiae\is-augq4.tmp в %ProgramFiles(x86)%\distinctio\molestiae\fuga.zip
%ProgramFiles(x86)%\distinctio\molestiae\is-nrfmr.tmp в %ProgramFiles(x86)%\distinctio\molestiae\dolor.pif
%ProgramFiles(x86)%\distinctio\impedit\is-dgbrk.tmp в %ProgramFiles(x86)%\distinctio\impedit\quia.bin
%ProgramFiles(x86)%\distinctio\impedit\is-favpr.tmp в %ProgramFiles(x86)%\distinctio\impedit\nam.txt
%ProgramFiles(x86)%\distinctio\est\is-9ctc4.tmp в %ProgramFiles(x86)%\distinctio\est\quis.bat
%ProgramFiles(x86)%\distinctio\dolore\is-a6m5e.tmp в %ProgramFiles(x86)%\distinctio\dolore\voluptatem.msi
%ProgramFiles(x86)%\distinctio\dolore\is-i4f75.tmp в %ProgramFiles(x86)%\distinctio\dolore\enim.mp3
%ProgramFiles(x86)%\distinctio\is-k025h.tmp в %ProgramFiles(x86)%\distinctio\quibusdam.avi
%ProgramFiles(x86)%\distinctio\is-lgilf.tmp в %ProgramFiles(x86)%\distinctio\debitis.pif
%ProgramFiles(x86)%\distinctio\officia\is-kkmve.tmp в %ProgramFiles(x86)%\distinctio\officia\ut.pif
%ProgramFiles(x86)%\distinctio\officia\is-c7632.tmp в %ProgramFiles(x86)%\distinctio\officia\vitae.dat

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: 'E48B5454-D489-407D-A458-4218D9ED9E2F' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-nt2cq.tmp\<Имя файла>.tmp' /SL5="$E022A,2683903,114176,<Полный путь к файлу>"
'%ProgramFiles(x86)%\distinctio\molestiae\voluptatem.exe' 4246a50aed1d57158a12b931151ec6a7