Trojan.DownLoader47.48559

Техническая информация

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\taskkill.exe' /f /im HTTPDebuggerUI.exe
'<SYSTEM32>\taskkill.exe' /f /im HTTPDebuggerSvc.exe
'<SYSTEM32>\taskkill.exe' /f /im x64dbg.exe
'<SYSTEM32>\taskkill.exe' /f /im ida64.exe
'<SYSTEM32>\taskkill.exe' /f /im x32dbg.exe
'<SYSTEM32>\taskkill.exe' /f /im procexp.exe
'<SYSTEM32>\taskkill.exe' /f /im procexp64.exe
'<SYSTEM32>\taskkill.exe' /f /im procexp64a.exe
'<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq cheatengine*" /IM * /F /T
'<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq httpdebugger*" /IM * /F /T
'<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq processhacker*" /IM * /F /T

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '', WindowName: 'The Wireshark Network Analyzer'

Изменения в файловой системе

Создает следующие файлы

nul
%WINDIR%\temp\cab398.tmp
%WINDIR%\temp\tar399.tmp
%WINDIR%\temp\cab1b20.tmp
%WINDIR%\temp\tar1b21.tmp
%WINDIR%\temp\cab1bbe.tmp
%WINDIR%\temp\tar1bbf.tmp
%WINDIR%\temp\cab3393.tmp
%WINDIR%\temp\tar3394.tmp

Удаляет следующие файлы

%WINDIR%\temp\cab398.tmp
%WINDIR%\temp\tar399.tmp
%WINDIR%\temp\cab1b20.tmp
%WINDIR%\temp\tar1b21.tmp
%WINDIR%\temp\cab1bbe.tmp
%WINDIR%\temp\tar1bbf.tmp
%WINDIR%\temp\cab3393.tmp
%WINDIR%\temp\tar3394.tmp

Самоперемещается

из <Полный путь к файлу> в <Текущая директория>\uc4pdjb72nnohkil082b.exe

Сетевая активность

Подключается к

'localhost':49179
'localhost':49181
'ke##uth.win':443
'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'localhost':49179
'localhost':49181
'localhost':49182
'ke##uth.win':443

UDP

DNS ASK ke##uth.win
DNS ASK x1.#.lencr.org

Другое

Ищет следующие окна

ClassName: 'Window' WindowName: ''
ClassName: '' WindowName: 'Cheat Engine 7.0'
ClassName: '' WindowName: 'Ida Freeware'
ClassName: '' WindowName: 'Cheat Engine 6.9'
ClassName: '' WindowName: 'Cheat Engine 6.8'
ClassName: '' WindowName: 'Ida'
ClassName: '' WindowName: 'Ida Pro'
ClassName: '' WindowName: 'IDA v7.6.210427'
ClassName: '' WindowName: 'HTTP Debugger Pro'
ClassName: '' WindowName: 'Process Hacker'
ClassName: '' WindowName: 'Process Hacker 2'
ClassName: '' WindowName: 'OllyDbg'
ClassName: '' WindowName: 'Spy-The-Spy Warning!'
ClassName: '' WindowName: 'Everthing'
ClassName: '' WindowName: 'Memory Viewer'
ClassName: '' WindowName: 'Cheat Engine'
ClassName: '' WindowName: 'Cheat Engine 7.1'
ClassName: '' WindowName: 'Process Explorer'
ClassName: '' WindowName: 'Cheat Engine 7.6'
ClassName: '' WindowName: 'Cheat Engine 7.5'
ClassName: 'ProcessHacker' WindowName: ''
ClassName: 'PROCEXPLORER' WindowName: ''
ClassName: '' WindowName: 'TeamSpeak 3'
ClassName: '' WindowName: 'Progress Telerik Fiddler Web Debugger'
ClassName: '' WindowName: 'Fiddler Everywhere'
ClassName: '' WindowName: 'Fiddler'
ClassName: '' WindowName: 'HTTP Debugger'
ClassName: '' WindowName: 'x64dbg'
ClassName: '' WindowName: 'x32dbg'
ClassName: '' WindowName: 'dnSpy'
ClassName: '' WindowName: 'FolderChangesView'
ClassName: '' WindowName: 'BinaryNinja'
ClassName: '' WindowName: 'HxD'
ClassName: '' WindowName: 'Cheat Engine 7.2'
ClassName: '' WindowName: 'Cheat Engine 7.3'
ClassName: '' WindowName: 'Cheat Engine 7.4'
ClassName: '' WindowName: ''

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c taskkill /f /im HTTPDebuggerUI.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c start cmd /C "color b && title Error && echo SSL connect error && timeout /t 5"
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq processhacker*" /IM * /F /T >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq httpdebugger*" /IM * /F /T >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq cheatengine*" /IM * /F /T >nul 2>&1
'<SYSTEM32>\sc.exe' stop HTTPDebuggerPro
'<SYSTEM32>\cmd.exe' /c sc stop HTTPDebuggerPro >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im procexp64a.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im procexp64.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im procexp.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im x32dbg.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im ida64.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im x64dbg.exe >nul 2>&1
'<SYSTEM32>\cmd.exe' /c taskkill /f /im HTTPDebuggerSvc.exe >nul 2>&1
'<SYSTEM32>\find.exe' /i /v "certutil"
'<SYSTEM32>\certutil.exe' -hashfile "<Полный путь к файлу>" MD5
'<SYSTEM32>\find.exe' /i /v "md5"
'<SYSTEM32>\cmd.exe' /c certutil -hashfile "<Полный путь к файлу>" MD5 | find /i /v "md5" | find /i /v "certutil"
'<SYSTEM32>\cmd.exe' /C "color b && title Error && echo SSL connect error && timeout /t 5"
'<SYSTEM32>\timeout.exe' /t 5