Trojan.DownLoader11.39536

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\RarSFX0\WINXP2k\RaInst.exe' Install "%TEMP%\RarSFX0\WINXP2k\rt2860.inf"
'%TEMP%\RarSFX0\WINXP2k\devcon.exe' rescan
'%TEMP%\RarSFX0\RaLaunch.exe' RaInstPkg.exe
'%TEMP%\RarSFX0\RaInstPkg.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\570FB14ABC805C46708F32F92F10C3B4
<SYSTEM32>\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX64\RaIOx64.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\3130B1871A126520A8C47861EFE3ED4D
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\3130B1871A126520A8C47861EFE3ED4D
%APPDATA%\Microsoft\CryptnetUrlCache\Content\570FB14ABC805C46708F32F92F10C3B4
%TEMP%\RarSFX0\VISTAX64\RaInst64.exe
%TEMP%\RarSFX0\VISTAX64\netr28x.inf
%TEMP%\RarSFX0\VISTAX64\netr28x.cat
%TEMP%\RarSFX0\VISTAX64\DIFxAPI.dll
%TEMP%\RarSFX0\VISTAX64\RaCoInstx.dll
%TEMP%\RarSFX0\VISTAX64\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX64\netr28x.sys
<SYSTEM32>\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\rt2860.inf
%WINDIR%\LastGood\TMP5.tmp
%WINDIR%\Temp\OLD4.tmp
%WINDIR%\LastGood\TMP3.tmp
%WINDIR%\Temp\OLD8.tmp
%WINDIR%\LastGood\TMP7.tmp
%WINDIR%\Temp\OLD6.tmp
%WINDIR%\inf\oem3.PNF
<SYSTEM32>\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\RaCoInst.dll
<SYSTEM32>\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\rt2860.sys
<SYSTEM32>\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\rt2860.cat
%WINDIR%\inf\oem3.inf
<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
<SYSTEM32>\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX64\devcon64.exe
%TEMP%\RarSFX0\WINX64\DIFxAPI.dll
%TEMP%\RarSFX0\WINX64\devcon64.exe
%TEMP%\RarSFX0\VISTAX86\RaInst.exe
%TEMP%\RarSFX0\WINX64\RaInst64.exe
%TEMP%\RarSFX0\WINX64\RaCoInstx.dll
%TEMP%\RarSFX0\WINX64\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX86\RaCoInst.dll
%TEMP%\RarSFX0\VISTAX86\netr28.cat
%TEMP%\RarSFX0\VISTAX86\DIFxAPI.dll
%TEMP%\RarSFX0\VISTAX86\devcon.exe
%TEMP%\RarSFX0\VISTAX86\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX86\netr28.sys
%TEMP%\RarSFX0\VISTAX86\netr28.inf
%TEMP%\RarSFX0\WINX64\RaIOx64.exe
%TEMP%\RarSFX0\WINXP2k\rt2860.inf
%TEMP%\RarSFX0\WINXP2k\rt2860.cat
%TEMP%\RarSFX0\WINXP2k\RaInst.exe
%TEMP%\RarSFX0\RaLaunch.exe
%TEMP%\RarSFX0\RaInstPkg.exe
%TEMP%\RarSFX0\WINXP2k\rt2860.sys
%TEMP%\RarSFX0\WINXP2k\RaCoInst.dll
%TEMP%\RarSFX0\WINX64\rt2860.sys
%TEMP%\RarSFX0\WINX64\rt2860.inf
%TEMP%\RarSFX0\WINX64\rt2860.cat
%TEMP%\RarSFX0\WINXP2k\RaCoInst.dat
%TEMP%\RarSFX0\WINXP2k\DIFxAPI.dll
%TEMP%\RarSFX0\WINXP2k\devcon.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT

Удаляет следующие файлы:

%TEMP%\RarSFX0\VISTAX86\netr28.sys
%TEMP%\RarSFX0\VISTAX86\netr28.inf
%TEMP%\RarSFX0\VISTAX86\RaInst.exe
%TEMP%\RarSFX0\VISTAX86\netr28.cat
%TEMP%\RarSFX0\VISTAX86\DIFxAPI.dll
%TEMP%\RarSFX0\WINX64\RaIOx64.exe
%TEMP%\RarSFX0\WINX64\devcon64.exe
%TEMP%\RarSFX0\VISTAX86\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX86\RaCoInst.dll
%TEMP%\RarSFX0\VISTAX86\devcon.exe
%TEMP%\RarSFX0\VISTAX64\RaInst64.exe
%TEMP%\RarSFX0\VISTAX64\netr28x.cat
%TEMP%\RarSFX0\VISTAX64\RaIOx64.exe
%TEMP%\RarSFX0\VISTAX64\devcon64.exe
%TEMP%\RarSFX0\VISTAX64\netr28x.sys
%TEMP%\RarSFX0\VISTAX64\RaCoInst.dat
%TEMP%\RarSFX0\VISTAX64\RaCoInstx.dll
%TEMP%\RarSFX0\VISTAX64\netr28x.inf
%TEMP%\RarSFX0\VISTAX64\DIFxAPI.dll
%TEMP%\RarSFX0\WINXP2k\DIFxAPI.dll
%TEMP%\RarSFX0\WINXP2k\RaCoInst.dat
%TEMP%\RarSFX0\WINXP2k\rt2860.sys
%TEMP%\RarSFX0\WINXP2k\rt2860.inf
%TEMP%\RarSFX0\WINXP2k\RaCoInst.dll
%WINDIR%\Temp\OLD8.tmp
%TEMP%\RarSFX0\RaInstPkg.exe
%WINDIR%\Temp\OLD4.tmp
%WINDIR%\Temp\OLD6.tmp
%TEMP%\RarSFX0\WINXP2k\rt2860.cat
%TEMP%\RarSFX0\WINX64\rt2860.sys
%TEMP%\RarSFX0\WINX64\rt2860.inf
%TEMP%\RarSFX0\WINX64\RaInst64.exe
%TEMP%\RarSFX0\WINX64\rt2860.cat
%TEMP%\RarSFX0\WINX64\DIFxAPI.dll
%TEMP%\RarSFX0\WINXP2k\devcon.exe
%TEMP%\RarSFX0\WINXP2k\RaInst.exe
%TEMP%\RarSFX0\WINX64\RaCoInst.dat
%TEMP%\RarSFX0\WINX64\RaCoInstx.dll

Перемещает следующие файлы:

%WINDIR%\LastGood\TMP7.tmp в %WINDIR%\LastGood\system32\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\RaCoInst.dat
%WINDIR%\LastGood\TMP5.tmp в %WINDIR%\LastGood\system32\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\RaCoInst.dll
%WINDIR%\LastGood\TMP3.tmp в %WINDIR%\LastGood\system32\DRVSTORE\rt2860_6738363C46BFE616876EB4CB496DFC3FB49B4B40\rt2860.sys

Сетевая активность:

Подключается к: