Trojan.DownLoader48.27708

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-13min.tmp\is-pc3lb.tmp
%ProgramFiles(x86)%\cdroller\unins000.dat
%ProgramFiles(x86)%\cdroller\is-85f43.tmp
%ProgramFiles(x86)%\cdroller\is-bb1be.tmp
%ProgramFiles(x86)%\cdroller\is-ou8nu.tmp
%ProgramFiles(x86)%\cdroller\is-6h0da.tmp
%ProgramFiles(x86)%\cdroller\is-99jg7.tmp
%ProgramFiles(x86)%\cdroller\is-0hd2f.tmp
%ProgramFiles(x86)%\cdroller\is-d9q1v.tmp
%ProgramFiles(x86)%\cdroller\is-mmube.tmp
%ProgramFiles(x86)%\cdroller\is-iqgcg.tmp
%ProgramFiles(x86)%\cdroller\is-fk565.tmp
%ProgramFiles(x86)%\cdroller\is-61hiu.tmp
%ProgramFiles(x86)%\cdroller\cdroller.exe
%ProgramFiles(x86)%\cdroller\is-k5g8u.tmp
%ProgramFiles(x86)%\cdroller\is-g8apq.tmp
%ProgramFiles(x86)%\cdroller\is-41v3f.tmp
%ProgramFiles(x86)%\cdroller\is-55cg2.tmp
%ProgramFiles(x86)%\cdroller\is-gn56k.tmp
%ProgramFiles(x86)%\cdroller\is-3gn66.tmp
%ProgramFiles(x86)%\cdroller\is-h29s5.tmp
%ProgramFiles(x86)%\cdroller\is-jgis0.tmp
%TEMP%\is-i9dn7.tmp\_isetup\_iscrypt.dll
%TEMP%\is-i9dn7.tmp\_isetup\_isdecmp.dll
%TEMP%\is-i9dn7.tmp\_isetup\_shfoldr.dll
%TEMP%\is-i9dn7.tmp\_isetup\_setup64.tmp
%TEMP%\is-i9dn7.tmp\_isetup\_regdll.tmp
%ProgramFiles(x86)%\cdroller\is-tqmjq.tmp
%TEMP%\license.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\cdroller\is-jgis0.tmp в %ProgramFiles(x86)%\cdroller\unins000.exe
%ProgramFiles(x86)%\cdroller\is-ou8nu.tmp в %ProgramFiles(x86)%\cdroller\home_page.html
%ProgramFiles(x86)%\cdroller\is-6h0da.tmp в %ProgramFiles(x86)%\cdroller\dvdimage._ex
%ProgramFiles(x86)%\cdroller\is-99jg7.tmp в %ProgramFiles(x86)%\cdroller\splitter.dll
%ProgramFiles(x86)%\cdroller\is-0hd2f.tmp в %ProgramFiles(x86)%\cdroller\quickref.txt
%ProgramFiles(x86)%\cdroller\is-d9q1v.tmp в %ProgramFiles(x86)%\cdroller\spare.exe
%ProgramFiles(x86)%\cdroller\is-mmube.tmp в %ProgramFiles(x86)%\cdroller\dcrawlib.dll
%ProgramFiles(x86)%\cdroller\is-iqgcg.tmp в %ProgramFiles(x86)%\cdroller\dvdlib.dll
%ProgramFiles(x86)%\cdroller\is-fk565.tmp в %ProgramFiles(x86)%\cdroller\starburn.dll
%ProgramFiles(x86)%\cdroller\is-61hiu.tmp в %ProgramFiles(x86)%\cdroller\ident.dll
%ProgramFiles(x86)%\cdroller\is-k5g8u.tmp в %ProgramFiles(x86)%\cdroller\aidex.dll
%ProgramFiles(x86)%\cdroller\is-tqmjq.tmp в %ProgramFiles(x86)%\cdroller\history.txt
%ProgramFiles(x86)%\cdroller\is-g8apq.tmp в %ProgramFiles(x86)%\cdroller\license.txt
%ProgramFiles(x86)%\cdroller\is-41v3f.tmp в %ProgramFiles(x86)%\cdroller\readme.txt
%ProgramFiles(x86)%\cdroller\is-55cg2.tmp в %ProgramFiles(x86)%\cdroller\cdroller.cfg
%ProgramFiles(x86)%\cdroller\is-gn56k.tmp в %ProgramFiles(x86)%\cdroller\discs.ini
%ProgramFiles(x86)%\cdroller\is-3gn66.tmp в %ProgramFiles(x86)%\cdroller\drives.dat
%ProgramFiles(x86)%\cdroller\is-h29s5.tmp в %ProgramFiles(x86)%\cdroller\rawdiskinst.dll
%ProgramFiles(x86)%\cdroller\is-bb1be.tmp в %ProgramFiles(x86)%\cdroller\order_now.html
%ProgramFiles(x86)%\cdroller\is-85f43.tmp в %ProgramFiles(x86)%\cdroller\cdroller.exe

Сетевая активность

TCP

Запросы HTTP GET

http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?43######

UDP

DNS ASK mi####njobs.works

Другое

Ищет следующие окна

ClassName: 'fbebf9_qres918Class_fbebf9' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-13min.tmp\is-pc3lb.tmp' /SL4 $5024E "<Полный путь к файлу>" 5656229 403456
'%ProgramFiles(x86)%\cdroller\cdroller.exe'
'%ProgramFiles(x86)%\cdroller\cdroller.exe' 28599571eb387285f21e3593d70b81c4

Запускает на исполнение