Trojan.DownLoader44.65525

Техническая информация

Для обеспечения автозапуска и распространения

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\disk

Вредоносные функции

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\syswow64\cmd.exe

Изменения в файловой системе

Создает следующие файлы

<Текущая директория>\disk
<Текущая директория>\dtseasy\360netrepair.exe
<Текущая директория>\dtseasy\24khz.head
<Текущая директория>\searchsong.dll
<Текущая директория>\libzplay.dll
<Текущая директория>\effect-master.dll
<Текущая директория>\dtseasy\nb_hr.rar
<Текущая директория>\dtseasy\aucdtect.exe
<Текущая директория>\dtseasy\nb_sb.rar
D:\sdcs2
D:\sdcs1
C:\sdcs3
C:\sdcs2
C:\sdcs1
D:\disk
D:\sdcs3
<Текущая директория>\dtseasy\avcodec-54.dll

Удаляет следующие файлы

<Текущая директория>\disk
D:\disk
<Имя диска съемного носителя>:\disk
C:\sdcs1
C:\sdcs2
C:\sdcs3
D:\sdcs1
D:\sdcs2
D:\sdcs3

Изменяет следующие файлы

Сетевая активность

Подключается к

'dt##07.com':443
'dt##07.com':3306
'12#####.d.cturls.net':80
'0f#.#####.directlink.tv002.com':80
'17#####-bb.tv002.com':443
'microsoft.com':80
'st#####.##gitalcertvalidation.com':80
'12#####.d.yyupload.com':80
'dt##07.com':80
'ch#####-bb.tv002.com':443

TCP

Запросы HTTP GET

http://12#####.d.cturls.net/down/1223667/Plugs/dts007/NB_SB.rar
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/effect-master.dll?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/libzplay.dll
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/libzplay.dll?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/searchsong.dll
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/searchsong.dll?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/dtseasy/24KHz.head
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/dtseasy/360NetRepair.exe
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/dtseasy/avcodec-58.dll
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/dtseasy/360NetRepair.exe?t=###########################################################
http://12#####.d.yyupload.com/down/1223667/Plugs/dts007/dtseasy/360NetRepair.exe
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/dtseasy/auCDtect.exe
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/dtseasy/auCDtect.exe?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/dtseasy/avcodec-54.dll
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/dtseasy/avcodec-54.dll?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/effect-master.dll
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/dtseasy/24KHz.head?t=###########################################################
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/up_date.rar?t=###########################################################
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/NZ_HX.rar?t=###########################################################
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/NB_SB.rar?t=###########################################################
http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://st#####.##gitalcertvalidation.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRJrF0xYA49jC3D83fgDGesaUkzIQQUf9OZ86BHDjEAVlYijrfMnt3KAYoCEAnLUCpVO4jHJbc5dtyfgb4%3D
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/NB_HR.rar
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/NB_HR.rar?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/NZ_HX.rar
http://12#####.d.yyupload.com/down/1223667/Plugs/dts007/NZ_HX.rar
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/GS_HR.rar?t=###########################################################
http://www.dt##07.com/download/Plugs/dts007/NZ_HX.rar
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/FL_BZ.rar
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/FL_BZ.rar?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/FL_GQ.rar
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/FL_GQ.rar?t=###########################################################
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/GS_HR.rar
http://12#####.d.cturls.net/down/1223667/Plugs/dts007/up_date.rar
http://0f#.#####.directlink.tv002.com/down/1223667/Plugs/dts007/dtseasy/avcodec-58.dll?t=###########################################################

Другие

'dt##07.com':443
'dt##07.com':3306
'17#####-bb.tv002.com':443
'ch#####-bb.tv002.com':443

UDP

DNS ASK dt##07.com
DNS ASK 12#####.d.cturls.net
DNS ASK 0f#.#####.directlink.tv002.com
DNS ASK 17#####-bb.tv002.com
DNS ASK microsoft.com
DNS ASK st#####.##gitalcertvalidation.com
DNS ASK 12#####.d.yyupload.com
DNS ASK ch#####-bb.tv002.com
DNS ASK public-trust.com

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: '' WindowName: 'cmd.exe'
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "<Текущая директория>\dtseasy\ffmpeg.exe"' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\dtseasy\checkcpu.exe""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\dtseasy\ffmpeg.exe" -y -hide_banner -i "D:\dtsГ’ГґГђВ§ВґГіГЉВ¦\Temp\vsttest.wav" -af astats -f null - "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c "<Текущая директория>\dtseasy\ffmpeg.exe"
'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\dtseasy\checkcpu.exe""
'%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\dtseasy\ffmpeg.exe" -y -hide_banner -i "D:\dtsГ’ГґГђВ§ВґГіГЉВ¦\Temp\vsttest.wav" -af astats -f null - "