Trojan.DownLoader44.47832

Для обеспечения автозапуска и распространения

Заражает следующие исполняемые файлы

%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\gmp-gmpopenh264\1.3\gmpopenh264.dll

Вредоносные функции

Внедряет код в

следующие системные процессы:

Читает файлы, отвечающие за хранение паролей сторонними программами

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:14547�'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnPost' = '{01,00,00,00}'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:14547'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\hpysshr.tmp
%TEMP%\udftqqfefp
%TEMP%\etsuirrdyoqutdy
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%TEMP%\iwpidiresht
%TEMP%\euatdwddryhfioi
%TEMP%\ohostqofepat
%TEMP%\ofptqrfepsuh
%TEMP%\syahqsaef
%TEMP%\wheirse
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\568uy85p\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jo0jscjp\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\x5s2wr83\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\myf6xmvv\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%TEMP%\udftqqfefp-shm
%TEMP%\whqsyee

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\myf6xmvv\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\x5s2wr83\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\jo0jscjp\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\568uy85p\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

Изменяет следующие файлы

%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\gmp-gmpopenh264\1.5.3\gmpopenh264.info
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\storage\permanent\moz-safe-about+home\.metadata
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\prefs.js
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\bookmarkbackups\bookmarks-2021-10-20_14_x5qkry9yysawyostzmcdfa==.jsonlz4
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\secmod.db
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\user.js
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\search.json
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\sessionstore-backups\previous.js
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\revocations.txt
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\extensions.json
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\sessionstore-backups\upgrade.js-20150415140819
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\crashes\store.json.mozlz4
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\sessioncheckpoints.json
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\gmp-gmpopenh264\1.3\gmpopenh264.info
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\storage\permanent\moz-safe-about+home\idb\818200132aebmoouht.sqlite
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\datareporting\state.json
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\cert8.db
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\key3.db

Сетевая активность

Подключается к

TCP

Другие

Другое

Добавляет корневой сертификат

Ищет следующие окна

Создает и запускает на исполнение

'<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 14549' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\shell32.dll",#61
'<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 14549
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\wininet.dll",DispatchAPICall 1