Trojan.DownLoader38.24474

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-pt029.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\numquam\tempora\is-po1u9.tmp
%ProgramFiles(x86)%\numquam\tempora\is-7uplk.tmp
%ProgramFiles(x86)%\numquam\tempora\is-p16go.tmp
%ProgramFiles(x86)%\numquam\tempora\is-ublt7.tmp
%ProgramFiles(x86)%\numquam\tempora\is-f1jho.tmp
%ProgramFiles(x86)%\numquam\tempora\is-qd8mt.tmp
%ProgramFiles(x86)%\numquam\tempora\is-mc2s0.tmp
%ProgramFiles(x86)%\numquam\tempora\is-78jr8.tmp
%ProgramFiles(x86)%\numquam\tempora\is-sh8kc.tmp
%ProgramFiles(x86)%\numquam\tempora\is-u2so1.tmp
%ProgramFiles(x86)%\numquam\tempora\is-t5o41.tmp
%ProgramFiles(x86)%\numquam\is-2i729.tmp
%ProgramFiles(x86)%\numquam\is-hg92c.tmp
%ProgramFiles(x86)%\numquam\is-bplo8.tmp
%ProgramFiles(x86)%\numquam\is-kghf2.tmp
%ProgramFiles(x86)%\numquam\is-c0mjf.tmp
%ProgramFiles(x86)%\numquam\is-l87s0.tmp
%ProgramFiles(x86)%\numquam\is-1qsao.tmp
%ProgramFiles(x86)%\numquam\is-8h27c.tmp
%ProgramFiles(x86)%\numquam\is-s2b44.tmp
%TEMP%\is-4j55h.tmp\_isetup\_iscrypt.dll
%TEMP%\is-4j55h.tmp\_isetup\_shfoldr.dll
%TEMP%\is-4j55h.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\numquam\tempora\is-j8tqs.tmp
%ProgramFiles(x86)%\numquam\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\numquam\is-s2b44.tmp в %ProgramFiles(x86)%\numquam\unins000.exe
%ProgramFiles(x86)%\numquam\tempora\is-7uplk.tmp в %ProgramFiles(x86)%\numquam\tempora\sint.txt
%ProgramFiles(x86)%\numquam\tempora\is-p16go.tmp в %ProgramFiles(x86)%\numquam\tempora\saepe.zip
%ProgramFiles(x86)%\numquam\tempora\is-ublt7.tmp в %ProgramFiles(x86)%\numquam\tempora\ratione.mp4
%ProgramFiles(x86)%\numquam\tempora\is-f1jho.tmp в %ProgramFiles(x86)%\numquam\tempora\quibusdam.txt
%ProgramFiles(x86)%\numquam\tempora\is-qd8mt.tmp в %ProgramFiles(x86)%\numquam\tempora\qui.7z
%ProgramFiles(x86)%\numquam\tempora\is-mc2s0.tmp в %ProgramFiles(x86)%\numquam\tempora\enim.htm
%ProgramFiles(x86)%\numquam\tempora\is-78jr8.tmp в %ProgramFiles(x86)%\numquam\tempora\ducimus.html
%ProgramFiles(x86)%\numquam\tempora\is-sh8kc.tmp в %ProgramFiles(x86)%\numquam\tempora\deserunt.exe
%ProgramFiles(x86)%\numquam\tempora\is-po1u9.tmp в %ProgramFiles(x86)%\numquam\tempora\ut.png
%ProgramFiles(x86)%\numquam\tempora\is-u2so1.tmp в %ProgramFiles(x86)%\numquam\tempora\aut.7z
%ProgramFiles(x86)%\numquam\is-2i729.tmp в %ProgramFiles(x86)%\numquam\quisquam.zip
%ProgramFiles(x86)%\numquam\is-hg92c.tmp в %ProgramFiles(x86)%\numquam\praesentium.txt
%ProgramFiles(x86)%\numquam\is-bplo8.tmp в %ProgramFiles(x86)%\numquam\nam.dat
%ProgramFiles(x86)%\numquam\is-kghf2.tmp в %ProgramFiles(x86)%\numquam\minima.avi
%ProgramFiles(x86)%\numquam\is-c0mjf.tmp в %ProgramFiles(x86)%\numquam\fugiat.dat
%ProgramFiles(x86)%\numquam\is-l87s0.tmp в %ProgramFiles(x86)%\numquam\et.wpd
%ProgramFiles(x86)%\numquam\is-1qsao.tmp в %ProgramFiles(x86)%\numquam\asperiores.pif
%ProgramFiles(x86)%\numquam\is-8h27c.tmp в %ProgramFiles(x86)%\numquam\aliquid.mp4
%ProgramFiles(x86)%\numquam\tempora\is-t5o41.tmp в %ProgramFiles(x86)%\numquam\tempora\architecto.ha
%ProgramFiles(x86)%\numquam\tempora\is-j8tqs.tmp в %ProgramFiles(x86)%\numquam\tempora\sqlite3.dll

Сетевая активность

TCP

Запросы HTTP POST

http://cl###etapi.com/v2/events

UDP

DNS ASK cl###etapi.com

Другое

Ищет следующие окна

ClassName: 'EBE7CA97-B035-4F9F-B4EE-111D7824F933' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-pt029.tmp\<Имя файла>.tmp' /SL5="$14022C,2663099,114176,<Полный путь к файлу>"
'%ProgramFiles(x86)%\numquam\tempora\deserunt.exe' ee33df9ca6049f9ab99ab80cda1e201f