Trojan.DownLoader11.38396

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\App\local\stubexe\0x416922053D26A14C\spwdrp.exe'

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
ClassName: 'RegMonClass' WindowName: ''
ClassName: 'FileMonClass' WindowName: ''

Принудительно разрешает автозапуск со съемных носителей.

Изменения в файловой системе:

Создает следующие файлы:

%ALLUSERSPROFILE%\Application Data\TEMP:D5FBE8F9
<Текущая директория>\App\roaming\meta\@WINDIR@\spwdrp.INI.__meta__.__tmp__
<Текущая директория>\App\roaming\modified\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp
<Текущая директория>\App\xsandbox.bin.__tmp__
<Текущая директория>\App\roaming\meta\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp.INI.__meta__.__tmp__

Удаляет следующие файлы:

<Текущая директория>\App\roaming\modified\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\spwdrp[1].txt

Перемещает следующие файлы:

<Текущая директория>\App\local\temp\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp.INI в <Текущая директория>\App\roaming\modified\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp.INI
%TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\x86_JR.Inno.Setup@1.0.0.0\x86_JR.Inno.Setup@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\x86_JR.Inno.Setup@1.0.0.0\x86_JR.Inno.Setup@1.0.0.0.manifest
<Текущая директория>\App\roaming\meta\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp.INI.__meta__.__tmp__ в <Текущая директория>\App\roaming\meta\@PROGRAMFILESX86@\Stellar Phoenix Windows Data Recovery\spwdrp.INI.__meta__
<Текущая директория>\App\roaming\meta\@WINDIR@\spwdrp.INI.__meta__.__tmp__ в <Текущая директория>\App\roaming\meta\@WINDIR@\spwdrp.INI.__meta__
<Текущая директория>\App\local\temp\@WINDIR@\spwdrp.INI в <Текущая директория>\App\roaming\modified\@WINDIR@\spwdrp.INI
<Текущая директория>\App\local\stubexe\0x416922053D26A14C\spwdrp.exe.__tmp__ в <Текущая директория>\App\local\stubexe\0x416922053D26A14C\spwdrp.exe
<Текущая директория>\App\xsandbox.bin.__tmp__ в <Текущая директория>\App\xsandbox.bin
%TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\spwdrp.exe_0x84ed6e50e1340f63ce9a01738fa9dcea.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\spwdrp.exe_0x84ed6e50e1340f63ce9a01738fa9dcea.1.manifest
%TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\x86_JR.Inno.Setup@1.0.0.0\JR.Inno.Setup.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\x86_JR.Inno.Setup@1.0.0.0\JR.Inno.Setup.manifest
%TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\unins000.exe_0xce5d2ef03f1f0aa69ca09f685799434c.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0xE81C7361DE9808B8\sxs\Manifests\unins000.exe_0xce5d2ef03f1f0aa69ca09f685799434c.1.manifest