Trojan.DownLoader47.2110

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-st9fp.tmp\<Имя файла>.tmp
%LOCALAPPDATA%\moon codec\is-3jfjc.tmp
%LOCALAPPDATA%\moon codec\is-kok1u.tmp
%LOCALAPPDATA%\moon codec\printsupport\is-mtm9a.tmp
%LOCALAPPDATA%\moon codec\platforms\is-fvp7q.tmp
%LOCALAPPDATA%\moon codec\platforms\is-pav4c.tmp
%LOCALAPPDATA%\moon codec\platforms\is-du8nh.tmp
%LOCALAPPDATA%\moon codec\imageformats\is-7gv71.tmp
%LOCALAPPDATA%\moon codec\imageformats\is-6n4uc.tmp
%LOCALAPPDATA%\moon codec\is-l1vjs.tmp
%LOCALAPPDATA%\moon codec\is-nk5sr.tmp
%LOCALAPPDATA%\moon codec\is-e15ns.tmp
%LOCALAPPDATA%\moon codec\is-r318o.tmp
%LOCALAPPDATA%\moon codec\is-c3845.tmp
%LOCALAPPDATA%\moon codec\is-jukv3.tmp
%LOCALAPPDATA%\moon codec\is-or3o4.tmp
%LOCALAPPDATA%\moon codec\is-3no66.tmp
%LOCALAPPDATA%\moon codec\is-b35re.tmp
%LOCALAPPDATA%\moon codec\is-7cmvi.tmp
%LOCALAPPDATA%\moon codec\is-dcu81.tmp
%LOCALAPPDATA%\moon codec\is-m5s9v.tmp
%LOCALAPPDATA%\moon codec\is-s1e40.tmp
%LOCALAPPDATA%\moon codec\is-4oejf.tmp
%LOCALAPPDATA%\moon codec\is-a67bq.tmp
%LOCALAPPDATA%\moon codec\is-l72ra.tmp
%LOCALAPPDATA%\moon codec\is-ibgc2.tmp
%TEMP%\is-dka42.tmp\_isetup\_iscrypt.dll
%TEMP%\is-dka42.tmp\_isetup\_isdecmp.dll
%TEMP%\is-dka42.tmp\_isetup\_shfoldr.dll
%TEMP%\is-dka42.tmp\_isetup\_setup64.tmp
%LOCALAPPDATA%\moon codec\unins000.dat
%LOCALAPPDATA%\moon codec\mooncodec32.exe

Перемещает следующие файлы

%LOCALAPPDATA%\moon codec\is-ibgc2.tmp в %LOCALAPPDATA%\moon codec\unins000.exe
%LOCALAPPDATA%\moon codec\printsupport\is-mtm9a.tmp в %LOCALAPPDATA%\moon codec\printsupport\windowsprintersupport.dll
%LOCALAPPDATA%\moon codec\platforms\is-fvp7q.tmp в %LOCALAPPDATA%\moon codec\platforms\qwindows.dll
%LOCALAPPDATA%\moon codec\platforms\is-pav4c.tmp в %LOCALAPPDATA%\moon codec\platforms\qoffscreen.dll
%LOCALAPPDATA%\moon codec\platforms\is-du8nh.tmp в %LOCALAPPDATA%\moon codec\platforms\qminimal.dll
%LOCALAPPDATA%\moon codec\imageformats\is-7gv71.tmp в %LOCALAPPDATA%\moon codec\imageformats\qjpeg.dll
%LOCALAPPDATA%\moon codec\imageformats\is-6n4uc.tmp в %LOCALAPPDATA%\moon codec\imageformats\qgif.dll
%LOCALAPPDATA%\moon codec\is-l1vjs.tmp в %LOCALAPPDATA%\moon codec\ssleay32.dll
%LOCALAPPDATA%\moon codec\is-nk5sr.tmp в %LOCALAPPDATA%\moon codec\qt5webkitwidgets.dll
%LOCALAPPDATA%\moon codec\is-e15ns.tmp в %LOCALAPPDATA%\moon codec\qt5webchannel.dll
%LOCALAPPDATA%\moon codec\is-r318o.tmp в %LOCALAPPDATA%\moon codec\qt5sql.dll
%LOCALAPPDATA%\moon codec\is-kok1u.tmp в %LOCALAPPDATA%\moon codec\firealpaca_mdp.ico
%LOCALAPPDATA%\moon codec\is-c3845.tmp в %LOCALAPPDATA%\moon codec\qt5sensors.dll
%LOCALAPPDATA%\moon codec\is-or3o4.tmp в %LOCALAPPDATA%\moon codec\qt5positioning.dll
%LOCALAPPDATA%\moon codec\is-3no66.tmp в %LOCALAPPDATA%\moon codec\qt5opengl.dll
%LOCALAPPDATA%\moon codec\is-b35re.tmp в %LOCALAPPDATA%\moon codec\qt5network.dll
%LOCALAPPDATA%\moon codec\is-7cmvi.tmp в %LOCALAPPDATA%\moon codec\qt5multimediawidgets.dll
%LOCALAPPDATA%\moon codec\is-dcu81.tmp в %LOCALAPPDATA%\moon codec\qt5multimedia.dll
%LOCALAPPDATA%\moon codec\is-m5s9v.tmp в %LOCALAPPDATA%\moon codec\qt5concurrent.dll
%LOCALAPPDATA%\moon codec\is-s1e40.tmp в %LOCALAPPDATA%\moon codec\libwinpthread-1.dll
%LOCALAPPDATA%\moon codec\is-4oejf.tmp в %LOCALAPPDATA%\moon codec\libstdc++-6.dll
%LOCALAPPDATA%\moon codec\is-a67bq.tmp в %LOCALAPPDATA%\moon codec\libgcc_s_dw2-1.dll
%LOCALAPPDATA%\moon codec\is-l72ra.tmp в %LOCALAPPDATA%\moon codec\qt.conf
%LOCALAPPDATA%\moon codec\is-jukv3.tmp в %LOCALAPPDATA%\moon codec\qt5printsupport.dll
%LOCALAPPDATA%\moon codec\is-3jfjc.tmp в %LOCALAPPDATA%\moon codec\mooncodec32.exe

Сетевая активность

Подключается к

'so####rvice.shop':80

TCP

Запросы HTTP POST

http://so####rvice.shop/new/net_api

UDP

DNS ASK so####rvice.shop

Другое

Ищет следующие окна

ClassName: 'b98b75_Wnd_612b98b75' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-st9fp.tmp\<Имя файла>.tmp' /SL5="$A0256,5833120,56832,<Полный путь к файлу>"
'%LOCALAPPDATA%\moon codec\mooncodec32.exe' ed5cf122f7f5d9063c7a6dd346d80a7c

Запускает на исполнение