Trojan.DownLoader11.51991

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\RarSFX0\DriverFusion.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmiadap.exe' /R /T

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\Languages\Language.sk-SK.resources
%TEMP%\RarSFX0\Languages\Language.sl-SI.resources
%TEMP%\RarSFX0\Languages\Language.ru-RU.resources
%TEMP%\RarSFX0\Languages\Language.resources
%TEMP%\RarSFX0\Languages\Language.ro-RO.resources
%TEMP%\RarSFX0\Languages\Language.sw-KE.resources
%TEMP%\RarSFX0\Languages\Language.ta-IN.resources
%TEMP%\RarSFX0\Languages\Language.sv-SE.resources
%TEMP%\RarSFX0\Languages\Language.sq-AL.resources
%TEMP%\RarSFX0\Languages\Language.sr-Cyrl-CS.resources
%TEMP%\RarSFX0\Languages\Language.pt-PT.resources
%TEMP%\RarSFX0\Languages\Language.ms-MY.resources
%TEMP%\RarSFX0\Languages\Language.mt-MT.resources
%TEMP%\RarSFX0\Languages\Language.mr-IN.resources
%TEMP%\RarSFX0\Languages\Language.mk-MK.resources
%TEMP%\RarSFX0\Languages\Language.mn-MN.resources
%TEMP%\RarSFX0\Languages\Language.pa-IN.resources
%TEMP%\RarSFX0\Languages\Language.pl-PL.resources
%TEMP%\RarSFX0\Languages\Language.nn-NO.resources
%TEMP%\RarSFX0\Languages\Language.ne-NP.resources
%TEMP%\RarSFX0\Languages\Language.nl-NL.resources
%ALLUSERSPROFILE%\Application Data\IsolatedStorage\cjjzw5oo.ymc\4o5didk3.vdr\StrongName.nltxzh1ggb0oq21j33xipsvh0wlfxeyr\AssemFiles\797ba7a8\exceptionless.log
%ALLUSERSPROFILE%\Application Data\IsolatedStorage\cjjzw5oo.ymc\4o5didk3.vdr\StrongName.nltxzh1ggb0oq21j33xipsvh0wlfxeyr\AssemFiles\797ba7a8\pxniesvi.vna
%ALLUSERSPROFILE%\Application Data\IsolatedStorage\cjjzw5oo.ymc\4o5didk3.vdr\StrongName.nltxzh1ggb0oq21j33xipsvh0wlfxeyr\AssemFiles\797ba7a8\Local.config
%ALLUSERSPROFILE%\Application Data\IsolatedStorage\cjjzw5oo.ymc\4o5didk3.vdr\StrongName.nltxzh1ggb0oq21j33xipsvh0wlfxeyr\info.dat
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab1.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%ALLUSERSPROFILE%\Application Data\IsolatedStorage\cjjzw5oo.ymc\4o5didk3.vdr\StrongName.nltxzh1ggb0oq21j33xipsvh0wlfxeyr\identity.dat
%TEMP%\RarSFX0\Languages\Language.uk-UA.resources
%TEMP%\RarSFX0\Languages\Language.ur-PK.resources
%TEMP%\RarSFX0\Languages\Language.tr-TR.resources
%TEMP%\RarSFX0\Languages\Language.te-IN.resources
%TEMP%\RarSFX0\Languages\Language.th-TH.resources
%TEMP%\RarSFX0\Languages\Language.zh-TW.resources
%TEMP%\RarSFX0\Languages\Language.zu-ZA.resources
%TEMP%\RarSFX0\Languages\Language.zh-CN.resources
%TEMP%\RarSFX0\Languages\Language.vi-VN.resources
%TEMP%\RarSFX0\Languages\Language.yo-NG.resources
%TEMP%\RarSFX0\Languages\Language.mi-NZ.resources
%TEMP%\RarSFX0\Languages\Language.de-DE.resources
%TEMP%\RarSFX0\Languages\Language.el-GR.resources
%TEMP%\RarSFX0\Languages\Language.da-DK.resources
%TEMP%\RarSFX0\Languages\Language.cs-CZ.resources
%TEMP%\RarSFX0\Languages\Language.cy-GB.resources
%TEMP%\RarSFX0\Languages\Language.fa-IR.resources
%TEMP%\RarSFX0\Languages\Language.fi-FI.resources
%TEMP%\RarSFX0\Languages\Language.eu-ES.resources
%TEMP%\RarSFX0\Languages\Language.es-ES.resources
%TEMP%\RarSFX0\Languages\Language.et-EE.resources
%TEMP%\RarSFX0\Languages\Language.ca-ES.resources
%TEMP%\RarSFX0\Languages\Language.af-ZA.resources
%TEMP%\RarSFX0\Languages\Language.ar-SA.resources
%TEMP%\RarSFX0\EULA.pdf
%TEMP%\RarSFX0\ReadMe.url
%TEMP%\RarSFX0\DriverFusion.exe
%TEMP%\RarSFX0\Languages\Language.bn-IN.resources
%TEMP%\RarSFX0\Languages\Language.bs-Latn-BA.resources
%TEMP%\RarSFX0\Languages\Language.bg-BG.resources
%TEMP%\RarSFX0\Languages\Language.az-Cyrl-AZ.resources
%TEMP%\RarSFX0\Languages\Language.be-BY.resources
%TEMP%\RarSFX0\Languages\Language.ka-GE.resources
%TEMP%\RarSFX0\Languages\Language.km-KH.resources
%TEMP%\RarSFX0\Languages\Language.ja-JP.resources
%TEMP%\RarSFX0\Languages\Language.is-IS.resources
%TEMP%\RarSFX0\Languages\Language.it-IT.resources
%TEMP%\RarSFX0\Languages\Language.lt-LT.resources
%TEMP%\RarSFX0\Languages\Language.lv-LV.resources
%TEMP%\RarSFX0\Languages\Language.lo-LA.resources
%TEMP%\RarSFX0\Languages\Language.kn-IN.resources
%TEMP%\RarSFX0\Languages\Language.ko-KR.resources
%TEMP%\RarSFX0\Languages\Language.ig-NG.resources
%TEMP%\RarSFX0\Languages\Language.ha-Latn-NG.resources
%TEMP%\RarSFX0\Languages\Language.he-IL.resources
%TEMP%\RarSFX0\Languages\Language.gu-IN.resources
%TEMP%\RarSFX0\Languages\Language.fr-FR.resources
%TEMP%\RarSFX0\Languages\Language.gl-ES.resources
%TEMP%\RarSFX0\Languages\Language.hy-AM.resources
%TEMP%\RarSFX0\Languages\Language.id-ID.resources
%TEMP%\RarSFX0\Languages\Language.hu-HU.resources
%TEMP%\RarSFX0\Languages\Language.hi-IN.resources
%TEMP%\RarSFX0\Languages\Language.hr-HR.resources

Удаляет следующие файлы:

%TEMP%\Cab1.tmp
<SYSTEM32>\d3d9caps.dat
%ALLUSERSPROFILE%\Application Data\IsolatedStorage\cjjzw5oo.ymc\4o5didk3.vdr\StrongName.nltxzh1ggb0oq21j33xipsvh0wlfxeyr\AssemFiles\797ba7a8\pxniesvi.vna

Перемещает следующие файлы:

<SYSTEM32>\d3d9caps.tmp в <SYSTEM32>\d3d9caps.dat

Сетевая активность:

Подключается к:

'el.##eexy.com':777
'www.download.windowsupdate.com':80
'wp#d':80
'sr###.treexy.com':8383

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
wp#d/wpad.dat

UDP: