Trojan.DownLoader38.61187

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\start.lnk

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов

Создает и запускает на исполнение

'%APPDATA%\dswgr\ummbnsmqs.exe' "<PATH_SAMPLE>.js" ybuqdtfjv
'%APPDATA%\dswgr\ummbnsmqs.exe' "<PATH_SAMPLE>.js" wmmqdu

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\dswgr\fmqregr.js
%APPDATA%\dswgr\ummbnsmqs.exe
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\start.lnk
%APPDATA%\dswgr\eukdad

Сетевая активность

Подключается к

'microsoft.com':80
'95.##3.31.22':80
'95.##3.31.18':80
'ur####telemetry.com':80
'be###yscdn.com':80

TCP

Запросы HTTP POST

http://ur####telemetry.com/
http://be###yscdn.com/

UDP

DNS ASK microsoft.com
DNS ASK ur####telemetry.com
DNS ASK be###yscdn.com

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\fmqregr.js" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\wscript.exe' "<PATH_SAMPLE>.js" ysyqxcgo' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\*" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\fuiobfln" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c del /F /S /Q "%APPDATA%\dswgr\*.exe"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\ummbnsmqs.exe" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk" /T /E /G Users:F /C' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\vvnww" /T /E /G Users:F /C' (со скрытым окном)
'%APPDATA%\dswgr\ummbnsmqs.exe' "<PATH_SAMPLE>.js" ybuqdtfjv' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\xuvsxsc" /T /E /G Users:F /C' (со скрытым окном)
'%APPDATA%\dswgr\ummbnsmqs.exe' "<PATH_SAMPLE>.js" wmmqdu' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\eukdad" /T /E /G Users:F /C' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\xuvsxsc" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\xuvsxsc" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\vvnww" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\vvnww" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\ummbnsmqs.exe" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\ummbnsmqs.exe" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c del /F /S /Q "%APPDATA%\dswgr\*.exe"
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\fuiobfln" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\fuiobfln" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\*" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\*" /T /E /G Users:F /C
'<SYSTEM32>\wscript.exe' "<PATH_SAMPLE>.js" ysyqxcgo
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\fmqregr.js" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\fmqregr.js" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr" /T /E /G Users:F /C
'<SYSTEM32>\cmd.exe' /c cacls "%APPDATA%\dswgr\eukdad" /T /E /G Users:F /C
'<SYSTEM32>\cacls.exe' "%APPDATA%\dswgr\eukdad" /T /E /G Users:F /C