Trojan.OutBrowse.582

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\ecgcabfbdjbhc.exe' 9]3]6]0]4]1]9]6]0]0]0 Jk1DRDk2KioyIC9KUjxQRUM0KiAvTjxRUU9OSkA+PTAgJkFDU1BIOzcxNTItNBovP0g7NzAgL0dPSURRQktZSUQ9KTYrNxwuSj9SVkVJXE9SSDxfbnRwOiYsbXJyLTs/U0stS0xKLT1PRyhJTkZGHSlDSEg6RUlEPWVraFJIU1hCZjBVXUUneDNgXGdQR3RbVD9tZWhGcVo3bT5WbGhISD1TaFJHR25vSjE1JHF6SGVcV2dsPUxeO1E5OUJgb3BtbVBhejhXb2BdLWdxPT9icnVWSVROZlVDVFkzTidib3pRQlBSUjBjJzRTalZKMF5keU9MRyswb3RJZThiNWstdElzNFAyR3l4b1RIeFZpcGhTaUxuYidiazcvRjlIb2E0X0ZvWVhsMTZVbXdnQU0zaGpYMUNdRTBJRGgtVFhaN2JeKlRCS0hFNHBWOFJgdj9uUWtYWWYncC1UU0xnRlowRSRJMW9tQDleNHZEPGs8SGxsQjJ4Vi1IUSwgK0MoNzIxNystGi9AMTQnMSAvOzA3LS0fJj40PS0oHSlEMTwkKyAvUElMPlU/U1ZKUklWOEBTPRwuR0xPRFU6UVlFUUs4NyAvUElMPlU/U1ZIQU1FNB0pRVREVk9STD0XLD9YQV46R0RMSUVCNyArR0ZNVF9CSUxRU0FRNCogL1Q/PkhLVU5MWVVSTDQdKVZJPCkaL0RTKDoaL05URU5JTUVWVD9MP05EP0lNQT5CT1JIPBcpSVNfSVJIVEVMPDd0cnVcHSlSQVNMTE5JTj5cT1NBUVY+QVlTNC8aL0RIOz9YPTEXLENTW0NQSEFNSTpcP04/UVBKVEVENGNbbG9kFylET1dFSUlBQF5ASj0xMC4rKzc0LSkqMC4yKi0aL1BIRD89MTQqLSoxNDQtLiAvREZUSExLQDtZVElNPDouLy41JiwwMTUhMDQyLjkrLipBTRcsT0E5TGZ0aWxsWCIsZjEtJyUoV2llYWl3byQqXCtVJSpfJU1PSDwlOS4wHDBcK1NoZV5vd3MiS04rNS0nHzNiK1xrJ1VPKCI7cHBFZWRjbmEsPmlvZ2xcIi1iJyccLGJodGttHzNdJClgJTJmWmxeZSpmZmlnbGUlYGltITFdW3BwZWVkY25hJCpcK2FwZ2ZeJS9gIm0lN2VtZmx1b3NmbmFsY2Nsb2QlHyZPUkw9X3FucCEyWB8yZiUpY2FlcC0nKzI0ZyVmaGZrJClgUnVuS2ZnZUBubmhsb2FbSltuXWZcbF9kZWdpaXkhMV0rNDMwJy4yNTA3HCxmMTQqLSoxNDQrMiUyZigxLTAsMC8vNDglKmMwOC82MDEzMjIoMVNWLXdEPWc0YktwK01ldmpCbUUyQkAudkpDTGZhRGNoS2NvcUcpbTdMaU1kRXpRdUJjNHRMSk9iYS5VW1MyWmRFRF5yXkU5RlVGdDhWc2xJVydPcmRqUWFSMlJNSEF0ZFY8S2xhQ1VBXDFjd1FCPFdfRlFGUlVCSVdPcyExWU1XNXpKQUt5RjEwLVFWeFxTLHRtUDxmaE9VK3ZHRU5mWiw1d2FjS2BkdkVGXVdCaEIvanVNQyhgYTJ4UFBQaElgTURHVWxQcExTaGhaLWhVUChLS1R1a1hFVFJYWENmSEkwb2Jja1pGT3M4cWJlQE1Zek1fRkcsc1w/ZDJNTUpxUkRJbV1WUk1baWZtXzFRS1lrTm5WY3RjYWFLeVJEUT9UbUkvUCpSeVZjcWtMZThEXDNkckcuO3ddMV9QS2pwXU9OUkRRKU93VWxNUUZtTmRDZkpGUzxxPk1Ta0VJbEprW0JEclJGY1BVbDBnYD5GT1ViZnFSRlptSkNWSUVRMXdQS3VdTVM3LkptdEFJajNwTlM5K1R5UkJSTkFnYD0zcFpqZm9CWEpsWWRzeA==
'%TEMP%\File.exe'

Запускает на исполнение:

'<SYSTEM32>\wbem\wmic.exe' /output:%TEMP%\81431340651.txt bios get serialnumber

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\1430006539.ecgcabfbdjbhc
%TEMP%\nsz10.tmp\bxipigpj.dll
%TEMP%\CabD.tmp
%TEMP%\gndyj50o.w2e
%TEMP%\ecgcabfbdjbhc.zip
%TEMP%\tmp11.tmp
%TEMP%\tmp12.tmp
%TEMP%\nsz10.tmp\nsisunz.dll
%TEMP%\1430006539.exe
%TEMP%\CabB.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\Cab1.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab9.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp

Удаляет следующие файлы:

%TEMP%\CabB.tmp
%TEMP%\Cab9.tmp
%TEMP%\tmp11.tmp
%TEMP%\CabD.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab1.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab5.tmp

Перемещает следующие файлы:

%TEMP%\1430006539.exe в %TEMP%\ecgcabfbdjbhc.exe
%TEMP%\gndyj50o.w2e в %TEMP%\File.exe

Сетевая активность:

Подключается к:

'tl.##mcb.com':80
'www.download.windowsupdate.com':80
'wp#d':80

TCP:

Запросы HTTP GET:

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
http://tl.##mcb.com/tl.crt
http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: