Trojan.DownLoader44.58908

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\taskhostt
<SYSTEM32>\tasks\taskhost
<SYSTEM32>\tasks\iexplore
<SYSTEM32>\tasks\iexplorei
<SYSTEM32>\tasks\csrss
<SYSTEM32>\tasks\csrssc
<SYSTEM32>\tasks\explorere
<SYSTEM32>\tasks\explorer

Изменения в файловой системе

Создает следующие файлы

C:\far2\plugins\compare\taskhost.exe
C:\far2\plugins\compare\b75386f1303e64
<Текущая директория>\iexplore.exe
<Текущая директория>\9db6e019d4f04e
%WINDIR%\schemas\wcn\taskhost.exe
%WINDIR%\schemas\wcn\b75386f1303e64
<Текущая директория>\csrss.exe
<Текущая директория>\886983d96e3d3e
%WINDIR%\debug\wia\explorer.exe
%WINDIR%\debug\wia\7a0fd90576e088

Сетевая активность

Подключается к

'94.##0.249.223':80

TCP

Запросы HTTP GET

http://94.##0.249.223/3/dle/Secure/httptemporaryLongpollprivate/DletrackvmDump/Video1Generator/DbGeneratorLine/Auth9DatalifeSql/Temporary4public/wordpressBase/4/WindowsvmTracktemp/providerhttpd...

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\schemas\WCN\taskhost.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Far2\Plugins\Compare\taskhost.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\iexplore.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\csrss.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\debug\WIA\explorer.exe'
'<Текущая директория>\csrss.exe'
'<Текущая директория>\csrss.exe' ' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 6 /tr "'C:\Far2\Plugins\Compare\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\Far2\Plugins\Compare\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 12 /tr "'C:\Far2\Plugins\Compare\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 13 /tr "'<Текущая директория>\iexplore.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 6 /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 10 /tr "'%WINDIR%\schemas\WCN\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%WINDIR%\schemas\WCN\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 12 /tr "'%WINDIR%\schemas\WCN\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 6 /tr "'<Текущая директория>\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 5 /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 8 /tr "'%WINDIR%\debug\WIA\explorer.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\debug\WIA\explorer.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 8 /tr "'%WINDIR%\debug\WIA\explorer.exe'" /rl HIGHEST /f
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'