Trojan.DownLoader13.1966

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Spoon\SandboxCache\512FD0C6BBAD2552\roaming\modified\@HKCU@\Software\Microsoft\Windows\CurrentVersion\Run] 'CCleaner Monitoring' = '"%PROGRAM_FILES%\CCleaner\CCleaner.exe" /MONITOR'

Вредоносные функции:

Создает и запускает на исполнение:

'<Текущая директория>\CCleaner\local\stubexe\0xAEB90AC8F3F320BC\CCleaner.exe' /monitor
'<Текущая директория>\CCleaner\local\stubexe\0xAEB90AC8F3F320BC\CCleaner.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\unsecapp.exe' -Embedding

Изменения в файловой системе:

Создает следующие файлы:

<Текущая директория>\CCleaner\local\temp\@PROGRAMFILESX86@\CCleaner\CCleaner.exe
<Текущая директория>\CCleaner\roaming\meta\@PROGRAMFILESX86@\CCleaner.__meta__.__tmp__
<Текущая директория>\CCleaner\local\temp\928_0x00400000.tls
<Текущая директория>\CCleaner\local\meta\@PROGRAMFILESX86@\CCleaner\CCleaner.exe.__meta__.__tmp__
<SYSTEM32>\Tasks\CCleanerSkipUAC
<Текущая директория>\CCleaner\local\temp\684_0x00400000.tls
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\7F915HXJC5IPYD5JMMH1.temp
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\x86_Piriform.CCleaner@1.0.0.0\x86_Piriform.CCleaner@1.0.0.0.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\Manifests\CCleaner.exe_0x4055f0dfb750f0174d9c81bab5276b51.1.manifest.__tmp__
<Текущая директория>\CCleaner\local\stubexe\0xAEB90AC8F3F320BC\CCleaner.exe.__tmp__
<Текущая директория>\CCleaner\xsandbox.bin.__tmp__
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\Manifests\uninst.exe_0x7f3701d5df20b145a2df5ae744fd4d5a.1.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\x86_Piriform.CCleaner@1.0.0.0\Piriform.CCleaner.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\X86_Nullsoft.NSIS.exehead@1.0.0.0.manifest.__tmp__
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\Nullsoft.NSIS.exehead.manifest.__tmp__

Перемещает следующие файлы:

<Текущая директория>\CCleaner\roaming\meta\@PROGRAMFILESX86@\CCleaner.__meta__.__tmp__ в <Текущая директория>\CCleaner\roaming\meta\@PROGRAMFILESX86@\CCleaner.__meta__
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\x86_Piriform.CCleaner@1.0.0.0\x86_Piriform.CCleaner@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\x86_Piriform.CCleaner@1.0.0.0\x86_Piriform.CCleaner@1.0.0.0.manifest
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\x86_Piriform.CCleaner@1.0.0.0\Piriform.CCleaner.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\x86_Piriform.CCleaner@1.0.0.0\Piriform.CCleaner.manifest
%APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\7F915HXJC5IPYD5JMMH1.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\e89ef6de6acf14dc.customDestinations-ms
<Текущая директория>\CCleaner\local\meta\@PROGRAMFILESX86@\CCleaner\CCleaner.exe.__meta__.__tmp__ в <Текущая директория>\CCleaner\local\meta\@PROGRAMFILESX86@\CCleaner\CCleaner.exe.__meta__
<Текущая директория>\CCleaner\local\temp\@PROGRAMFILESX86@\CCleaner\CCleaner.exe в <Текущая директория>\CCleaner\local\modified\@PROGRAMFILESX86@\CCleaner\CCleaner.exe
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\Manifests\CCleaner.exe_0x4055f0dfb750f0174d9c81bab5276b51.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\Manifests\CCleaner.exe_0x4055f0dfb750f0174d9c81bab5276b51.1.manifest
<Текущая директория>\CCleaner\local\stubexe\0xAEB90AC8F3F320BC\CCleaner.exe.__tmp__ в <Текущая директория>\CCleaner\local\stubexe\0xAEB90AC8F3F320BC\CCleaner.exe
<Текущая директория>\CCleaner\xsandbox.bin.__tmp__ в <Текущая директория>\CCleaner\xsandbox.bin
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\X86_Nullsoft.NSIS.exehead@1.0.0.0.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\X86_Nullsoft.NSIS.exehead@1.0.0.0.manifest
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\Nullsoft.NSIS.exehead.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\X86_Nullsoft.NSIS.exehead@1.0.0.0\Nullsoft.NSIS.exehead.manifest
%TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\Manifests\uninst.exe_0x7f3701d5df20b145a2df5ae744fd4d5a.1.manifest.__tmp__ в %TEMP%\SPOON\CACHE\0x512FD0C6BBAD2552\sxs\Manifests\uninst.exe_0x7f3701d5df20b145a2df5ae744fd4d5a.1.manifest