Trojan.DownLoader49.52223

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\appxprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\assocprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\cbsprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\dismcore.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\dismcoreps.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\dismhost.exe
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\dismprov.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\dmiprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\appxprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\assocprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\cbsprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\dismcore.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\dismprov.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\dmiprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\ffuprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\folderprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\genericprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\ibsprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\imagingprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\intlprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\logprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\msiprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\offlinesetupprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\osprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\provprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\setupplatformprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\smiprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\sysprepprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\transmogprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\unattendprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\vhdprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\en-us\wimprovider.dll.mui
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\ffuprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\folderprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\genericprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\ibsprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\imagingprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\intlprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\logprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\msiprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\offlinesetupprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\osprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\provprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\setupplatformprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\smiprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\sysprepprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\transmogprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\unattendprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\vhdprovider.dll
%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\wimprovider.dll

Самоперемещается

из <Полный путь к файлу> в <Текущая директория>\bo1avqf63x.exe

Сетевая активность

Подключается к

've##fy.su':443
'x1.#.lencr.org':80
'bt###oft.net':443

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

've##fy.su':443
'bt###oft.net':443

UDP

DNS ASK ve##fy.su
DNS ASK x1.#.lencr.org
DNS ASK bt###oft.net

Другое

Создает и запускает на исполнение

'%TEMP%\6b041242-4754-4036-b2a8-7239bd05cb3f\dismhost.exe' {55602CC8-B9EE-49B9-9DFA-6E52B2432CEE}

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c dism.exe /Online /Enable-Feature /FeatureName:Microsoft-Hyper-V-All /All /NoRestart (со скрытым окном)
'<SYSTEM32>\dism.exe' /Online /Enable-Feature /FeatureName:Microsoft-Hyper-V-All /All /NoRestart
'<SYSTEM32>\cmd.exe' /c bcdedit.exe /set hypervisorlaunchtype auto (со скрытым окном)
'<SYSTEM32>\bcdedit.exe' /set hypervisorlaunchtype auto