Trojan.DownLoader.5989.origin

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%CommonProgramFiles(x86)%\system\qqsapw.exebnb
%ALLUSERSPROFILE%\package cache\{e46eca4f-393b-40df-9f49-076faf788d83}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{dde2682b-961a-41ea-8d44-6005991b7947}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{ce085a78-074e-4823-8dc1-8a721b94b76d}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{b55f7208-e02b-4828-ac78-59c73ddf5bc7}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{a2199617-3609-410f-a8e8-e8806c73545b}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{6c95b50e-cb5a-4a1f-a7b4-8a6004f8dd6a}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{615bc16d-60f5-482e-91b3-b51d8130963b}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{51adbf11-493f-431c-a862-967a0fae2944}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{35459b22-19a6-44ec-8d34-27eb3131acac}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{2af972c7-13b0-4978-92a8-fee26a4fb4e9}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{f0080ca2-80ae-4958-b6eb-e8fa916d744a}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{0f12c81f-93ef-46ec-bc94-d952c1a775d4}\ws2help.dll
%ProgramFiles(x86)%\winamp\ws2help.dll
%ProgramFiles(x86)%\steam\ws2help.dll
%ProgramFiles(x86)%\pidgin\ws2help.dll
%ProgramFiles(x86)%\opera\ws2help.dll
%ProgramFiles(x86)%\mozilla thunderbird\uninstall\ws2help.dll
%ProgramFiles(x86)%\mozilla firefox\uninstall\ws2help.dll
%ProgramFiles(x86)%\mirc\ws2help.dll
%ProgramFiles(x86)%\k-lite codec pack\ws2help.dll
%ProgramFiles(x86)%\google\chrome\application\42.0.2311.135\installer\ws2help.dll
C:\rcxdc3b.tmp
%CommonProgramFiles(x86)%\system\debug.obj
nul
%ALLUSERSPROFILE%\package cache\{01db25f3-1b76-4d97-88c8-1c90634d88fb}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{f65db027-aff3-4070-886a-0d87064aabb1}\ws2help.dll

Присваивает атрибут 'скрытый' для следующих файлов

%ProgramFiles(x86)%\google\chrome\application\42.0.2311.135\installer\ws2help.dll
%ALLUSERSPROFILE%\package cache\{e46eca4f-393b-40df-9f49-076faf788d83}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{dde2682b-961a-41ea-8d44-6005991b7947}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{ce085a78-074e-4823-8dc1-8a721b94b76d}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{b55f7208-e02b-4828-ac78-59c73ddf5bc7}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{a2199617-3609-410f-a8e8-e8806c73545b}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{6c95b50e-cb5a-4a1f-a7b4-8a6004f8dd6a}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{615bc16d-60f5-482e-91b3-b51d8130963b}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{51adbf11-493f-431c-a862-967a0fae2944}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{35459b22-19a6-44ec-8d34-27eb3131acac}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{f0080ca2-80ae-4958-b6eb-e8fa916d744a}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{0f12c81f-93ef-46ec-bc94-d952c1a775d4}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{01db25f3-1b76-4d97-88c8-1c90634d88fb}\ws2help.dll
%ProgramFiles(x86)%\winamp\ws2help.dll
%ProgramFiles(x86)%\steam\ws2help.dll
%ProgramFiles(x86)%\pidgin\ws2help.dll
%ProgramFiles(x86)%\opera\ws2help.dll
%ProgramFiles(x86)%\mozilla thunderbird\uninstall\ws2help.dll
%ProgramFiles(x86)%\mozilla firefox\uninstall\ws2help.dll
%ProgramFiles(x86)%\mirc\ws2help.dll
%ProgramFiles(x86)%\k-lite codec pack\ws2help.dll
%ALLUSERSPROFILE%\package cache\{2af972c7-13b0-4978-92a8-fee26a4fb4e9}\ws2help.dll
%ALLUSERSPROFILE%\package cache\{f65db027-aff3-4070-886a-0d87064aabb1}\ws2help.dll

Перемещает следующие файлы

%CommonProgramFiles(x86)%\system\qqsapw.exebnb в %CommonProgramFiles(x86)%\system\qqsapw.exe
C:\rcxdc3b.tmp в %CommonProgramFiles(x86)%\system\debug.obj

Самоудаляется.

Сетевая активность

UDP

DNS ASK xi###iao123.cn
DNS ASK ti###ai777.cn
DNS ASK ba###-002.cn

Другое

Создает и запускает на исполнение

'%CommonProgramFiles(x86)%\system\qqsapw.exe'
'%WINDIR%\syswow64\cmd.exe' /c erase /A:RHSA "<Полный путь к файлу>"&cmd /c del "<Полный путь к файлу>"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ping -n 2 127.0.0.1>nul&del /F /Q /A : RSAH "<Полный путь к файлу>"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c erase /A:RHSA "<Полный путь к файлу>"&cmd /c del "<Полный путь к файлу>"
'%WINDIR%\syswow64\cmd.exe' /c ping -n 2 127.0.0.1>nul&del /F /Q /A : RSAH "<Полный путь к файлу>"
'%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"