Trojan.DownLoader9.7487

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat6e4f2cf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat225f7b2f' = '%TEMP%\msnatf6f34bf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnatf6f34bf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat167f204f' = '%TEMP%\msnat6e4f2cf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat2a0f84f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat2af1daf' = '%TEMP%\msnat476f1aaf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat476f1aaf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat436f4caf' = '%TEMP%\msnat70af2d9f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat7fef480f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat197f3e5f' = '%TEMP%\msnat7f3f4daf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat7f3f4daf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat53ef4ddf' = '%TEMP%\msnat7fef480f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat70af2d9f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnatbaf10bf' = '%TEMP%\msnata5f207f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnata5f207f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat104f48ff' = '%TEMP%\msnat646f62ef.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat646f62ef.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat7cff2c0f' = '%TEMP%\msnat1c2f628f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnatcaf3fbf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat38df633f' = '%TEMP%\msnat3caf63ff.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat3caf63ff.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat18ff6a9f' = '%TEMP%\msnatcaf3fbf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat1c2f628f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat45bf28cf' = '%TEMP%\msnat5dbf4ecf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat5dbf4ecf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat189fe3f' = '%TEMP%\msnat2a0f84f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat6d9f551f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat61bf675f' = '%TEMP%\msnat4e3f2bff.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat4e3f2bff.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat31ef532f' = '%TEMP%\msnat6d9f551f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat2aaf6d5f' = '%TEMP%\msnatbbf488f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat59f1c4f' = '%TEMP%\msnat784f6af.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat784f6af.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat1f0f718f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat776f6fdf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat45f4a5f' = '%TEMP%\msnat6b2f7d4f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat6b2f7d4f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat420f392f' = '%TEMP%\msnat776f6fdf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat4df757f' = '%TEMP%\msnat1f0f718f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'sidebar' = '%APPDATA%\Sample.lnk'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat6f1f343f' = '%TEMP%\msnat4b0f576f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat4b0f576f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat46cf708f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat7e4f568f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat2b3f412f' = '%TEMP%\msnat7e4f568f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat5c3f5b3f' = '%TEMP%\msnat46cf708f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat2c3f1f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat1d3f5d4f' = '%TEMP%\msnat56bfa8f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat56bfa8f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat7c2f38bf' = '%TEMP%\msnat2c3f1f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnatbbf488f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat703f5ddf' = '%TEMP%\msnatb0f4e3f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnatb0f4e3f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat657f475f' = '%TEMP%\msnat2ff208f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat270f7d2f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat58af577f' = '%TEMP%\msnat574f3ddf.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat574f3ddf.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat2f9fb3f' = '%TEMP%\msnat270f7d2f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat2ff208f.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnat749f430f' = '%TEMP%\msnat7e7f97f.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%TEMP%\msnat7e7f97f.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\MSUNatService] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\msnat350f2edf.exe'

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=3436
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat476f1aaf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat167f204f /d "%TEMP%\msnat6e4f2cf.exe"
'<SYSTEM32>\reg.exe' /pid=3424
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat2af1daf /d "%TEMP%\msnat476f1aaf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat189fe3f /d "%TEMP%\msnat2a0f84f.exe"
'<SYSTEM32>\reg.exe' /pid=3760
'<SYSTEM32>\reg.exe' /pid=2660
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat2a0f84f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat6e4f2cf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat70af2d9f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat436f4caf /d "%TEMP%\msnat70af2d9f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnatbaf10bf /d "%TEMP%\msnata5f207f.exe"
'<SYSTEM32>\svchost.exe' /pid=4040
'<SYSTEM32>\reg.exe' /pid=3592
'<SYSTEM32>\svchost.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat225f7b2f /d "%TEMP%\msnatf6f34bf.exe"
'<SYSTEM32>\reg.exe' /pid=2896
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnatf6f34bf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat104f48ff /d "%TEMP%\msnat646f62ef.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnatcaf3fbf.exe"
'<SYSTEM32>\svchost.exe' /pid=2768
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat646f62ef.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat18ff6a9f /d "%TEMP%\msnatcaf3fbf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat38df633f /d "%TEMP%\msnat3caf63ff.exe"
'<SYSTEM32>\reg.exe' /pid=3184
'<SYSTEM32>\reg.exe' /pid=2904
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat3caf63ff.exe"
'<SYSTEM32>\svchost.exe' /pid=2952
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat6d9f551f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat31ef532f /d "%TEMP%\msnat6d9f551f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat5dbf4ecf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat45bf28cf /d "%TEMP%\msnat5dbf4ecf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat4e3f2bff.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat1c2f628f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat7cff2c0f /d "%TEMP%\msnat1c2f628f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat61bf675f /d "%TEMP%\msnat4e3f2bff.exe"
'<SYSTEM32>\reg.exe' /pid=3928
'<SYSTEM32>\svchost.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnata5f207f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat776f6fdf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat420f392f /d "%TEMP%\msnat776f6fdf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat784f6af.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat59f1c4f /d "%TEMP%\msnat784f6af.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat6b2f7d4f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat574f3ddf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat58af577f /d "%TEMP%\msnat574f3ddf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat45f4a5f /d "%TEMP%\msnat6b2f7d4f.exe"
'<SYSTEM32>\reg.exe' /pid=3140
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat4df757f /d "%TEMP%\msnat1f0f718f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat6f1f343f /d "%TEMP%\msnat4b0f576f.exe"
'<SYSTEM32>\svchost.exe'
'<SYSTEM32>\wscript.exe' "%TEMP%\1.vbs"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat4b0f576f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat46cf708f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat2b3f412f /d "%TEMP%\msnat7e4f568f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat1f0f718f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat5c3f5b3f /d "%TEMP%\msnat46cf708f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat7e4f568f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnatbbf488f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat2aaf6d5f /d "%TEMP%\msnatbbf488f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnatb0f4e3f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat703f5ddf /d "%TEMP%\msnatb0f4e3f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat7f3f4daf.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat7fef480f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat53ef4ddf /d "%TEMP%\msnat7fef480f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat197f3e5f /d "%TEMP%\msnat7f3f4daf.exe"
'<SYSTEM32>\svchost.exe' /pid=4056
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat7c2f38bf /d "%TEMP%\msnat2c3f1f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat7e7f97f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat749f430f /d "%TEMP%\msnat7e7f97f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat270f7d2f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat2f9fb3f /d "%TEMP%\msnat270f7d2f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat2ff208f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat1d3f5d4f /d "%TEMP%\msnat56bfa8f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat2c3f1f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /t REG_SZ /f /v msnat657f475f /d "%TEMP%\msnat2ff208f.exe"
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /t REG_SZ /f /v load /d "%TEMP%\msnat56bfa8f.exe"

Внедряет код в

следующие системные процессы:

<SYSTEM32>\reg.exe
<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\msnat7fef480f.exe
<SYSTEM32>\msnat6d7f7a8f.exe
%TEMP%\msnat7f3f4daf.exe
<SYSTEM32>\msnat555f270f.exe
%TEMP%\msnata5f207f.exe
<SYSTEM32>\msnat40af7a7f.exe
%TEMP%\msnatf6f34bf.exe
<SYSTEM32>\msnat61ff3b8f.exe
%TEMP%\msnat70af2d9f.exe
<SYSTEM32>\msnat611f67af.exe
%TEMP%\msnat56bfa8f.exe
<SYSTEM32>\msnatf4f2e1f.exe
%TEMP%\msnat2ff208f.exe
<SYSTEM32>\msnat4f6f68ef.exe
%TEMP%\msnat2c3f1f.exe
<SYSTEM32>\msnat22bf2c0f.exe
%TEMP%\msnatbbf488f.exe
<SYSTEM32>\msnat2e7f6caf.exe
%TEMP%\msnatb0f4e3f.exe
<SYSTEM32>\msnat5fcf391f.exe
%TEMP%\msnat1c2f628f.exe
<SYSTEM32>\msnat276faaf.exe
%TEMP%\msnat4e3f2bff.exe
<SYSTEM32>\msnat1d5f494f.exe
%TEMP%\msnat646f62ef.exe
<SYSTEM32>\msnat292f21cf.exe
%TEMP%\msnat3caf63ff.exe
<SYSTEM32>\msnat513f4c4f.exe
%TEMP%\msnatcaf3fbf.exe
<SYSTEM32>\msnat32df68f.exe
%TEMP%\msnat476f1aaf.exe
<SYSTEM32>\msnat283f360f.exe
%TEMP%\msnat6e4f2cf.exe
<SYSTEM32>\msnat1e6f764f.exe
%TEMP%\msnat2a0f84f.exe
<SYSTEM32>\msnat1ecf46ff.exe
%TEMP%\msnat6d9f551f.exe
<SYSTEM32>\msnat7eef39f.exe
%TEMP%\msnat5dbf4ecf.exe
%TEMP%\dw.log
%APPDATA%\Sample.lnk
<SYSTEM32>\msnat350f2edf.exe
%TEMP%\msnat4b0f576f.exe
%TEMP%\3A327.dmp
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
<SYSTEM32>\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\010112.txt
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\Cab1.tmp
%TEMP%\1.vbs
%APPDATA%\DataWork\svhost.exe
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
%WINDIR%\Temp\Cab7.tmp
<SYSTEM32>\msnat389f48bf.exe
%TEMP%\msnat574f3ddf.exe
<SYSTEM32>\msnat77bf7d2f.exe
%TEMP%\msnat6b2f7d4f.exe
<SYSTEM32>\msnat180fc7f.exe
%TEMP%\msnat7e7f97f.exe
<SYSTEM32>\msnat188f1b9f.exe
%TEMP%\msnat270f7d2f.exe
<SYSTEM32>\msnat4daf51df.exe
%TEMP%\msnat776f6fdf.exe
<SYSTEM32>\msnat328f476f.exe
%TEMP%\msnat7e4f568f.exe
<SYSTEM32>\msnat713f78bf.exe
%TEMP%\msnat46cf708f.exe
<SYSTEM32>\msnat72fffcf.exe
%TEMP%\msnat784f6af.exe
<SYSTEM32>\msnat609f300f.exe
%TEMP%\msnat1f0f718f.exe
<SYSTEM32>\msnat1d8f562f.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\msnat5fcf391f.exe
%TEMP%\msnatf6f34bf.exe
<SYSTEM32>\msnat40af7a7f.exe
%TEMP%\msnat6e4f2cf.exe
<SYSTEM32>\msnat283f360f.exe
%TEMP%\msnat476f1aaf.exe
<SYSTEM32>\msnat1e6f764f.exe
%TEMP%\msnat70af2d9f.exe
<SYSTEM32>\msnat555f270f.exe
%TEMP%\msnat7f3f4daf.exe
<SYSTEM32>\msnat611f67af.exe
%TEMP%\msnat7fef480f.exe
<SYSTEM32>\msnat61ff3b8f.exe
%TEMP%\msnata5f207f.exe
<SYSTEM32>\msnat6d7f7a8f.exe
%TEMP%\msnat646f62ef.exe
<SYSTEM32>\msnat276faaf.exe
%TEMP%\msnat1c2f628f.exe
<SYSTEM32>\msnat513f4c4f.exe
%TEMP%\msnat3caf63ff.exe
<SYSTEM32>\msnat292f21cf.exe
%TEMP%\msnatcaf3fbf.exe
<SYSTEM32>\msnat1d5f494f.exe
%TEMP%\msnat5dbf4ecf.exe
<SYSTEM32>\msnat7eef39f.exe
%TEMP%\msnat2a0f84f.exe
<SYSTEM32>\msnat1ecf46ff.exe
%TEMP%\msnat4e3f2bff.exe
<SYSTEM32>\msnat32df68f.exe
%TEMP%\msnat6d9f551f.exe
%TEMP%\msnatbbf488f.exe
%TEMP%\msnat784f6af.exe
<SYSTEM32>\msnat1d8f562f.exe
%TEMP%\msnat1f0f718f.exe
<SYSTEM32>\msnat609f300f.exe
%TEMP%\msnat6b2f7d4f.exe
<SYSTEM32>\msnat77bf7d2f.exe
%TEMP%\msnat776f6fdf.exe
<SYSTEM32>\msnat72fffcf.exe
%TEMP%\msnat4b0f576f.exe
<SYSTEM32>\msnat350f2edf.exe
%APPDATA%\DataWork\svhost.exe
<SYSTEM32>\msnat713f78bf.exe
%TEMP%\msnat7e4f568f.exe
<SYSTEM32>\msnat328f476f.exe
%TEMP%\msnat46cf708f.exe
<SYSTEM32>\msnatf4f2e1f.exe
%TEMP%\msnat56bfa8f.exe
<SYSTEM32>\msnat4f6f68ef.exe
%TEMP%\msnat2c3f1f.exe
<SYSTEM32>\msnat22bf2c0f.exe
%TEMP%\msnatb0f4e3f.exe
<SYSTEM32>\msnat2e7f6caf.exe
%TEMP%\msnat2ff208f.exe
<SYSTEM32>\msnat180fc7f.exe
%TEMP%\msnat574f3ddf.exe
<SYSTEM32>\msnat389f48bf.exe
%TEMP%\msnat270f7d2f.exe
<SYSTEM32>\msnat188f1b9f.exe
%TEMP%\msnat7e7f97f.exe
<SYSTEM32>\msnat4daf51df.exe

Удаляет следующие файлы:

%TEMP%\1.vbs
%WINDIR%\Temp\Cab7.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab3.tmp

Самоудаляется.

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'sa###pandas.net':2352
'wp#d':80
'www.download.windowsupdate.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
20#.#6.232.182/
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP:

DNS ASK www.microsoft.com
DNS ASK sa###pandas.net
DNS ASK wp#d
DNS ASK www.download.windowsupdate.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: '(null)'
ClassName: 'Indicator' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней