Trojan.DownLoader39.28803

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Chriso09 Stub' = '"%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -jar "%APPDATA%\Chriso09 Stub.jar"'
[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'Chriso09 Stub' = '"%ProgramFiles%\Java\jre1.8.0_45\bin\javaw.exe" -jar "%APPDATA%\Chriso09 Stub.jar"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\chriso09 stub.jar
<SYSTEM32>\tasks\skype

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\chriso09 stub.jar
%HOMEPATH%\lib\jna-platform-5.5.0.jard
%HOMEPATH%\lib\jna-5.5.0.jard
%HOMEPATH%\lib\sqlite-jdbc-3.14.2.1.jard
%HOMEPATH%\lib\system-hook-3.5.jard
%HOMEPATH%\chriso09 stub.jar
%TEMP%\jna-3599307\jna7951795970086816532.dll
%APPDATA%\lib\jna-5.5.0.jar
%APPDATA%\lib\jna-platform-5.5.0.jar
%APPDATA%\lib\sqlite-jdbc-3.14.2.1.jar
%APPDATA%\lib\system-hook-3.5.jar
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\chriso09 stub.jar
%TEMP%\jna-3599307\jna5977443775388783035.dll

Удаляет следующие файлы

%TEMP%\jna-3599307\jna7951795970086816532.dll
%TEMP%\jna-3599307\jna5977443775388783035.dll

Перемещает следующие файлы

%HOMEPATH%\lib\jna-5.5.0.jard в %HOMEPATH%\lib\jna-5.5.0.jar
%HOMEPATH%\lib\jna-platform-5.5.0.jard в %HOMEPATH%\lib\jna-platform-5.5.0.jar
%HOMEPATH%\lib\system-hook-3.5.jard в %HOMEPATH%\lib\system-hook-3.5.jar
%HOMEPATH%\lib\sqlite-jdbc-3.14.2.1.jard в %HOMEPATH%\lib\sqlite-jdbc-3.14.2.1.jar

Сетевая активность

TCP

Запросы HTTP GET

http://ip##pi.com/json/

're###.maven.org':443

'gi##ub.com':443

'gi#########ases.githubusercontent.com':443

'37.##1.114.90':8888

UDP

DNS ASK re###.maven.org
DNS ASK gi##ub.com
DNS ASK gi#########ases.githubusercontent.com
DNS ASK st###aster.pw
DNS ASK ip##pi.com

Другое

Запускает на исполнение

'<SYSTEM32>\java.exe' -jar "%APPDATA%\Chriso09 Stub.jar"
'%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -jar "%HOMEPATH%\Chriso09 Stub.jar"
'<SYSTEM32>\cmd.exe' /c schtasks /create /sc minute /mo 30 /tn Skype /tr "%APPDATA%\Chriso09 Stub.jar"
'%ProgramFiles%\java\jre1.8.0_45\bin\java.exe' -jar "%APPDATA%\Chriso09 Stub.jar"
'<SYSTEM32>\schtasks.exe' /create /sc minute /mo 30 /tn Skype /tr "%APPDATA%\Chriso09 Stub.jar"
'<SYSTEM32>\cmd.exe' /c "wmic /node:. /namespace:'\\root\cimv2' path win32_logicaldisk get volumeserialnumber /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:. /namespace:'\\root\cimv2' path win32_logicaldisk get volumeserialnumber /format:list
'<SYSTEM32>\cmd.exe' /c "wmic /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get caption,OSArchitecture /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get caption,OSArchitecture /format:list
'<SYSTEM32>\cmd.exe' /c "wmic /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get version /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:. /namespace:'\\root\cimv2' path win32_operatingsystem get version /format:list
'<SYSTEM32>\cmd.exe' /c "wmic /node:localhost /namespace:'\\root\securitycenter' path antivirusproduct get displayname /format:list"
'<SYSTEM32>\wbem\wmic.exe' /node:localhost /namespace:'\\root\securitycenter' path antivirusproduct get displayname /format:list
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[void][Windows.Security.Credentials.PasswordVault,Windows.Security.Credentials,ContentType=WindowsRuntime] $vault = New-Object Windows.Security.Credentials.PasswordVault $vault.RetrieveAll()...