Trojan.DownLoader45.9040

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut95b9.tmp
%TEMP%\aut98a1.tmp
%WINDIR%\ncytserver\ico\tootip.jpg
%TEMP%\aut98a0.tmp
%WINDIR%\ncytserver\ico\qrcode.jpg
%TEMP%\aut988f.tmp
%WINDIR%\ncytserver\ico\webkefu.jpg
%WINDIR%\ncytserver\ico\idr.ico
%TEMP%\aut9860.tmp
%TEMP%\aut985f.tmp
%WINDIR%\ncytserver\ico\wd002.ico
%TEMP%\aut984e.tmp
%WINDIR%\ncytserver\ico\wd001.ico
%TEMP%\aut984d.tmp
%WINDIR%\ncytserver\ico\kefu.ico
%WINDIR%\ncytserver\ico\au3kj.ico
%TEMP%\aut983c.tmp
%WINDIR%\ncytserver\ico\background.jpg
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0frv27lv\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\p2m8dy5v\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\sw2ktmyo\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\8rfk3npr\desktop.ini
%WINDIR%\ncytserver\ncytdbs.mdb.bak
%TEMP%\aut98b2.tmp
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%WINDIR%\ncytserver\network.ini
%WINDIR%\ncytserver\wxtoolsup.dat
%TEMP%\aut98b3.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%TEMP%\aut982c.tmp
%WINDIR%\ncytserver\ico\aigei_com.ico
%TEMP%\aut981b.tmp
%WINDIR%\ncytserver\ico\server-4.ico
%TEMP%\aut9784.tmp
%WINDIR%\ncytserver\ico\server-3.ico
%TEMP%\aut9783.tmp
%WINDIR%\ncytserver\ico\server-2.ico
%WINDIR%\ncytserver\ico\server-5.ico
%TEMP%\aut9772.tmp
%TEMP%\aut9762.tmp
%WINDIR%\ncytserver\ico\uplog.jpg
%TEMP%\aut9761.tmp
%WINDIR%\ncytserver\ico\wxserver1.ico
%TEMP%\aut9750.tmp
%TEMP%\tzkyxlj
%WINDIR%\ncytserver\ico\server-1.ico
%TEMP%\aut97a5.tmp
%TEMP%\aut9794.tmp
%WINDIR%\ncytserver\ico\server-6.ico
%WINDIR%\ncytserver\ico\wxt.ico
%TEMP%\aut97f8.tmp
%TEMP%\aut981a.tmp
%WINDIR%\ncytserver\ico\video_4.ico
%TEMP%\aut980a.tmp
%WINDIR%\ncytserver\ico\aigei2_com.ico
%TEMP%\aut97f9.tmp
%WINDIR%\ncytserver\ico\server-10.ico
%WINDIR%\ncytserver\ico\server-9.ico
%TEMP%\aut97c5.tmp
%TEMP%\aut97e7.tmp
%WINDIR%\ncytserver\ico\server-8.ico
%TEMP%\aut97d7.tmp
%WINDIR%\ncytserver\ico\server-11.ico
%TEMP%\aut97c6.tmp
%WINDIR%\ncytserver\ico\server-7.ico
%WINDIR%\ncytserver\version.dat
D:\ncytserver\ncytdbs.mdb

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\8rfk3npr\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\sw2ktmyo\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\p2m8dy5v\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0frv27lv\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

%TEMP%\aut95b9.tmp
%TEMP%\aut98a1.tmp
%TEMP%\aut98a0.tmp
%TEMP%\aut988f.tmp
%TEMP%\aut9860.tmp
%TEMP%\aut985f.tmp
%TEMP%\aut984e.tmp
%TEMP%\aut984d.tmp
%TEMP%\aut983c.tmp
%TEMP%\aut982c.tmp
%TEMP%\aut981b.tmp
%TEMP%\aut981a.tmp
%TEMP%\aut980a.tmp
%TEMP%\aut97f9.tmp
%TEMP%\aut97f8.tmp
%TEMP%\aut97e7.tmp
%TEMP%\aut97d7.tmp
%TEMP%\aut97c6.tmp
%TEMP%\aut97c5.tmp
%TEMP%\aut97a5.tmp
%TEMP%\aut9794.tmp
%TEMP%\aut9784.tmp
%TEMP%\aut9783.tmp
%TEMP%\aut9772.tmp
%TEMP%\aut9762.tmp
%TEMP%\aut9761.tmp
%TEMP%\aut9750.tmp
%TEMP%\tzkyxlj
%TEMP%\aut98b2.tmp
%TEMP%\aut98b3.tmp

Сетевая активность

Подключается к

'jx#d.cc':80

TCP

Запросы HTTP GET

http://jx#d.cc/wxtools/Ver1/Version.dat

UDP

DNS ASK ba##u.com
DNS ASK jx#d.cc

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ipconfig /all > %WINDIR%\NcytServer\NetWork.ini' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ipconfig /all > %WINDIR%\NcytServer\NetWork.ini
'%WINDIR%\syswow64\ipconfig.exe' /all
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1