Trojan.DownLoader38.24418

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<SYSTEM32>\user32\spoolsv.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%ALLUSERSPROFILE%\Documents\smss.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"%ALLUSERSPROFILE%\Documents\smss.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\lsass.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\lsass.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles(x86)%\Internet Explorer\iexplore\iexplore.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles(x86)%\Internet Explorer\iexplore\iexplore.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles%\FAMEH32\iexplore.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Cartridges\winlogon.exe"'
[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<SYSTEM32>\user32\spoolsv.exe", "<SYSTEM32>\wow64\taskhost.exe", "%ProgramFiles(x86)%\Microsoft Analysis...
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"<SYSTEM32>\wow64\taskhost.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"<SYSTEM32>\wow64\taskhost.exe"'
[<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "<SYSTEM32>\user32\spoolsv.exe", "<SYSTEM32>\wow64\taskhost.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"<SYSTEM32>\user32\spoolsv.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"<SYSTEM32>\user32\spoolsv.exe"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Cartridges\winlogon.exe"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles%\FAMEH32\iexplore.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\spoolsv
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\winlogon
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\lsass
<SYSTEM32>\tasks\smss

Изменения в файловой системе

Создает следующие файлы

<SYSTEM32>\user32\spoolsv.exe
<SYSTEM32>\user32\f3b6ecef712a24f33798f5d2fb3790c3d9b894c4
<SYSTEM32>\wow64\taskhost.exe
<SYSTEM32>\wow64\b75386f1303e64d8139363b71e44ac16341adf4e
%ProgramFiles(x86)%\microsoft analysis services\as oledb\10\cartridges\winlogon.exe
%ProgramFiles(x86)%\microsoft analysis services\as oledb\10\cartridges\cc11b995f2a76da408ea6a601e682e64743153ad
%ProgramFiles(x86)%\internet explorer\iexplore\iexplore.exe
%ProgramFiles(x86)%\internet explorer\iexplore\9db6e019d4f04ef534d0f91b3462d805c40e9d20
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\lsass.exe
C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\6203df4a6bafc7c328ee7f6f8ca0a8a838a8a1b9
%ALLUSERSPROFILE%\documents\smss.exe
%ALLUSERSPROFILE%\documents\69ddcba757bf72f7d36c464c71f42baab150b2b9
%ProgramFiles%\fameh32\iexplore.exe
%ProgramFiles%\fameh32\9db6e019d4f04ef534d0f91b3462d805c40e9d20
%WINDIR%powershell\powershell.exe

Сетевая активность

Подключается к

'21#.#8.222.96':80
'cd#.##scordapp.com':443
'ip##fo.io':443

TCP

Запросы HTTP GET

http://21#.#8.222.96/pipeAuthLinux.php?G5########################################################################################################################################################...

'cd#.##scordapp.com':443

'ip##fo.io':443

UDP

DNS ASK cd#.##scordapp.com
DNS ASK ip##fo.io

Другое

Создает и запускает на исполнение

'%ProgramFiles%\fameh32\iexplore.exe'

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<SYSTEM32>\user32\spoolsv.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'<SYSTEM32>\wow64\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Cartridges\winlogon.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\iexplore\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\lsass.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Documents\smss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles%\FAMEH32\iexplore.exe'" /rl HIGHEST /f