Trojan.DownLoader23.7900

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Control\Lsa] 'Security Packages' = 'kerberos wdigest msv1_0 schannel tspkg pku2u'

Вредоносные функции:

Запускает на исполнение:

'%TEMP%\{6AF3339F-ECEC-4802-BFB7-DC6E5B4802FE}\.cr\Microsoft.Build.config' -burn.clean.room="%TEMP%\Microsoft.Build.config"
'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\hchscjcl.cmdline"
'%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5.tmp" "%TEMP%\CSC4.tmp"
'%TEMP%\Microsoft.Build.config'
'<SYSTEM32>\schtasks.exe' /create /sc onlogon /tn WindowUpdate /tr %WINDIR%\lsa.exe
'<SYSTEM32>\schtasks.exe' /create /sc onlogon /tn DefenderUpdate /tr %WINDIR%\lsass.exe
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa" /v "Security Packages" /t REG_MULTI_SZ /d "kerberos wdigest msv1_0 schannel tspkg pku2u" /f

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Microsoft.Practices.Prism.dll
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Artefact.dll
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Futuremark.BootstrapperUi.dll
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\mbapreq.png
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1053\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1040\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1029\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\BootstrapperCore.config
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\3082\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\2070\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\2052\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Background.jpg
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Eula.rtf
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\BigLogo.png
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\SmallLogo.png
%APPDATA%\Microsoft\CryptnetUrlCache\Content\696F3DE637E6DE85B458996D49D759AD
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\696F3DE637E6DE85B458996D49D759AD
%TEMP%\hchscjcl.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\B8CC409ACDBF2A2FE04C56F2875B1FD6
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C24EC5BDAF13613245B4CECC3DE91DC6
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C24EC5BDAF13613245B4CECC3DE91DC6
%APPDATA%\Microsoft\CryptnetUrlCache\Content\B8CC409ACDBF2A2FE04C56F2875B1FD6
%TEMP%\RES5.tmp
%TEMP%\3DMark_20161103222052.log
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\BootstrapperApplicationData.xml
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1055\mbapreq.wxl
%TEMP%\hchscjcl.0.cs
%TEMP%\CSC4.tmp
%TEMP%\hchscjcl.out
%TEMP%\hchscjcl.cmdline
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1038\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1032\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1030\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1042\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Dictionary_en-US.xaml
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1060\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1043\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\mbapreq.wxl
%TEMP%\php3.tmp
%TEMP%\php2.tmp
%TEMP%\php1.tmp
%TEMP%\Microsoft.Build.config
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\BootstrapperCore.dll
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\mbahost.dll
%TEMP%\{6AF3339F-ECEC-4802-BFB7-DC6E5B4802FE}\.cr\Microsoft.Build.config
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1045\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1044\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1041\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1046\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Dictionary_zh-Hans.xaml
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1051\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1049\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1036\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\mbapreq.dll
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Dictionary_de-DE.xaml
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\Dictionary_ru-RU.xaml
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\mbapreq.thm
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1035\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1031\mbapreq.wxl
%TEMP%\{A4422819-D232-4C46-80AA-C9116C3D832B}\.ba\1028\mbapreq.wxl

Удаляет следующие файлы:

%TEMP%\hchscjcl.cmdline
%TEMP%\hchscjcl.out
<SYSTEM32>\d3d9caps.dat
%TEMP%\hchscjcl.0.cs
%TEMP%\RES5.tmp
%TEMP%\CSC4.tmp
%TEMP%\hchscjcl.dll

Подменяет следующие файлы:

<SYSTEM32>\d3d9caps.dat

Сетевая активность:

Подключается к:

'20#.#6.232.182':80
'wp#d':80
'18#.#25.4.216':80

TCP:

Запросы HTTP GET:

http://crl.microsoft.com/pki/crl/products/WinPCA.crl via 20#.#6.232.182
http://www.microsoft.com/pki/crl/products/WinPCA.crl via 20#.#6.232.182
http://crl.microsoft.com/pki/crl/products/microsoftrootcert.crl via 20#.#6.232.182
http:///lp.exe via 18#.#25.4.216
http://11#.#11.111.1/wpad.dat via wp#d

UDP: