Trojan.DownLoader25.49090

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dmutsapi' = '%APPDATA%\Microsoft\Corppres\aaaanfig.exe'

Malicious functions:

Creates and executes the following:

'%APPDATA%\Microsoft\Corppres\aaaanfig.exe' "%TEMP%\201710~1.EXE"
'%TEMP%\20171026193001_drop.exe'

Executes the following:

'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\BD24.bi1"
'<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\BD28.bi1"
'<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
'<SYSTEM32>\cmd.exe' /C %TEMP%\20171026193001_drop.exe
'<SYSTEM32>\cmd.exe' /c ""%TEMP%\7D97\112.bat" "%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "%TEMP%\201710~1.EXE""
'<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "%TEMP%\201710~1.EXE""

Injects code into

the following system processes:

%WINDIR%\Explorer.EXE

the following user processes:

opera.exe

Modifies file system:

Creates the following files:

%TEMP%\CB.tmp
%TEMP%\CC.tmp
%TEMP%\C9.tmp
%TEMP%\CA.tmp
%TEMP%\CD.tmp
%TEMP%\D0.tmp
%TEMP%\D1.tmp
%TEMP%\CE.tmp
%TEMP%\CF.tmp
%TEMP%\C8.tmp
%TEMP%\C1.tmp
%TEMP%\C2.tmp
%TEMP%\BF.tmp
%TEMP%\C0.tmp
%TEMP%\C3.tmp
%TEMP%\C6.tmp
%TEMP%\C7.tmp
%TEMP%\C4.tmp
%TEMP%\C5.tmp
%TEMP%\DE.tmp
%TEMP%\DF.tmp
%TEMP%\DC.tmp
%TEMP%\DD.tmp
%TEMP%\E0.tmp
%TEMP%\E3.tmp
%TEMP%\E4.tmp
%TEMP%\E1.tmp
%TEMP%\E2.tmp
%TEMP%\DB.tmp
%TEMP%\D4.tmp
%TEMP%\D5.tmp
%TEMP%\D2.tmp
%TEMP%\D3.tmp
%TEMP%\D6.tmp
%TEMP%\D9.tmp
%TEMP%\DA.tmp
%TEMP%\D7.tmp
%TEMP%\D8.tmp
%TEMP%\A5.tmp
%TEMP%\A6.tmp
%TEMP%\A3.tmp
%TEMP%\A4.tmp
%TEMP%\A7.tmp
%TEMP%\AA.tmp
%TEMP%\AB.tmp
%TEMP%\A8.tmp
%TEMP%\A9.tmp
%TEMP%\A2.tmp
%TEMP%\9B.tmp
%TEMP%\9C.tmp
%TEMP%\99.tmp
%TEMP%\9A.tmp
%TEMP%\9D.tmp
%TEMP%\A0.tmp
%TEMP%\A1.tmp
%TEMP%\9E.tmp
%TEMP%\9F.tmp
%TEMP%\B8.tmp
%TEMP%\B9.tmp
%TEMP%\B6.tmp
%TEMP%\B7.tmp
%TEMP%\BA.tmp
%TEMP%\BD.tmp
%TEMP%\BE.tmp
%TEMP%\BB.tmp
%TEMP%\BC.tmp
%TEMP%\B5.tmp
%TEMP%\AE.tmp
%TEMP%\AF.tmp
%TEMP%\AC.tmp
%TEMP%\AD.tmp
%TEMP%\B0.tmp
%TEMP%\B3.tmp
%TEMP%\B4.tmp
%TEMP%\B1.tmp
%TEMP%\B2.tmp
%TEMP%\E5.tmp
%TEMP%\118.tmp
%TEMP%\119.tmp
%TEMP%\116.tmp
%TEMP%\117.tmp
%TEMP%\11A.tmp
%TEMP%\11D.tmp
%TEMP%\11E.tmp
%TEMP%\11B.tmp
%TEMP%\11C.tmp
%TEMP%\115.tmp
%TEMP%\10E.tmp
%TEMP%\10F.tmp
%TEMP%\10C.tmp
%TEMP%\10D.tmp
%TEMP%\110.tmp
%TEMP%\113.tmp
%TEMP%\114.tmp
%TEMP%\111.tmp
%APPDATA%\Microsoft\Corppres\aaaanfig.exe
%TEMP%\12B.tmp
%TEMP%\12C.tmp
%TEMP%\129.tmp
%TEMP%\12A.tmp
%TEMP%\12D.tmp
%TEMP%\130.tmp
%TEMP%\131.tmp
%TEMP%\12E.tmp
%TEMP%\12F.tmp
%TEMP%\128.tmp
%TEMP%\121.tmp
%TEMP%\122.tmp
%TEMP%\11F.tmp
%TEMP%\120.tmp
%TEMP%\123.tmp
%TEMP%\126.tmp
%TEMP%\127.tmp
%TEMP%\124.tmp
%TEMP%\125.tmp
%TEMP%\F2.tmp
%TEMP%\F3.tmp
%TEMP%\F0.tmp
%TEMP%\F1.tmp
%TEMP%\F4.tmp
%TEMP%\F7.tmp
%TEMP%\F8.tmp
%TEMP%\F5.tmp
%TEMP%\F6.tmp
%TEMP%\EF.tmp
%TEMP%\E8.tmp
%TEMP%\E9.tmp
%TEMP%\E6.tmp
%TEMP%\E7.tmp
%TEMP%\EA.tmp
%TEMP%\ED.tmp
%TEMP%\EE.tmp
%TEMP%\EB.tmp
%TEMP%\EC.tmp
%TEMP%\105.tmp
%TEMP%\106.tmp
%TEMP%\103.tmp
%TEMP%\104.tmp
%TEMP%\107.tmp
%TEMP%\10A.tmp
%TEMP%\10B.tmp
%TEMP%\108.tmp
%TEMP%\109.tmp
%TEMP%\102.tmp
%TEMP%\FB.tmp
%TEMP%\FC.tmp
%TEMP%\F9.tmp
%TEMP%\FA.tmp
%TEMP%\FD.tmp
%TEMP%\100.tmp
%TEMP%\101.tmp
%TEMP%\FE.tmp
%TEMP%\FF.tmp
%TEMP%\32.tmp
%TEMP%\33.tmp
%TEMP%\30.tmp
%TEMP%\31.tmp
%TEMP%\34.tmp
%TEMP%\37.tmp
%TEMP%\38.tmp
%TEMP%\35.tmp
%TEMP%\36.tmp
%TEMP%\2F.tmp
%TEMP%\28.tmp
%TEMP%\29.tmp
%TEMP%\26.tmp
%TEMP%\27.tmp
%TEMP%\2A.tmp
%TEMP%\2D.tmp
%TEMP%\2E.tmp
%TEMP%\2B.tmp
%TEMP%\2C.tmp
%TEMP%\45.tmp
%TEMP%\46.tmp
%TEMP%\43.tmp
%TEMP%\44.tmp
%TEMP%\47.tmp
%TEMP%\4A.tmp
%TEMP%\4B.tmp
%TEMP%\48.tmp
%TEMP%\49.tmp
%TEMP%\42.tmp
%TEMP%\3B.tmp
%TEMP%\3C.tmp
%TEMP%\39.tmp
%TEMP%\3A.tmp
%TEMP%\3D.tmp
%TEMP%\40.tmp
%TEMP%\41.tmp
%TEMP%\3E.tmp
%TEMP%\3F.tmp
%TEMP%\C.tmp
%TEMP%\D.tmp
%TEMP%\A.tmp
%TEMP%\B.tmp
%TEMP%\E.tmp
%TEMP%\11.tmp
%TEMP%\12.tmp
%TEMP%\F.tmp
%TEMP%\10.tmp
%TEMP%\9.tmp
%TEMP%\2.tmp
%TEMP%\3.tmp
%TEMP%\20171026193001_drop.exe
%TEMP%\1.tmp
%TEMP%\4.tmp
%TEMP%\7.tmp
%TEMP%\8.tmp
%TEMP%\5.tmp
%TEMP%\6.tmp
%TEMP%\1F.tmp
%TEMP%\20.tmp
%TEMP%\1D.tmp
%TEMP%\1E.tmp
%TEMP%\21.tmp
%TEMP%\24.tmp
%TEMP%\25.tmp
%TEMP%\22.tmp
%TEMP%\23.tmp
%TEMP%\1C.tmp
%TEMP%\15.tmp
%TEMP%\16.tmp
%TEMP%\13.tmp
%TEMP%\14.tmp
%TEMP%\17.tmp
%TEMP%\1A.tmp
%TEMP%\1B.tmp
%TEMP%\18.tmp
%TEMP%\19.tmp
%TEMP%\4C.tmp
%TEMP%\7F.tmp
%TEMP%\80.tmp
%TEMP%\7D.tmp
%TEMP%\7E.tmp
%TEMP%\81.tmp
%TEMP%\84.tmp
%TEMP%\85.tmp
%TEMP%\82.tmp
%TEMP%\83.tmp
%TEMP%\7C.tmp
%TEMP%\75.tmp
%TEMP%\76.tmp
%TEMP%\73.tmp
%TEMP%\74.tmp
%TEMP%\77.tmp
%TEMP%\7A.tmp
%TEMP%\7B.tmp
%TEMP%\78.tmp
%TEMP%\79.tmp
%TEMP%\92.tmp
%TEMP%\93.tmp
%TEMP%\90.tmp
%TEMP%\91.tmp
%TEMP%\94.tmp
%TEMP%\97.tmp
%TEMP%\98.tmp
%TEMP%\95.tmp
%TEMP%\96.tmp
%TEMP%\8F.tmp
%TEMP%\88.tmp
%TEMP%\89.tmp
%TEMP%\86.tmp
%TEMP%\87.tmp
%TEMP%\8A.tmp
%TEMP%\8D.tmp
%TEMP%\8E.tmp
%TEMP%\8B.tmp
%TEMP%\8C.tmp
%TEMP%\59.tmp
%TEMP%\5A.tmp
%TEMP%\57.tmp
%TEMP%\58.tmp
%TEMP%\5B.tmp
%TEMP%\5E.tmp
%TEMP%\5F.tmp
%TEMP%\5C.tmp
%TEMP%\5D.tmp
%TEMP%\56.tmp
%TEMP%\4F.tmp
%TEMP%\50.tmp
%TEMP%\4D.tmp
%TEMP%\4E.tmp
%TEMP%\51.tmp
%TEMP%\54.tmp
%TEMP%\55.tmp
%TEMP%\52.tmp
%TEMP%\53.tmp
%TEMP%\6C.tmp
%TEMP%\6D.tmp
%TEMP%\6A.tmp
%TEMP%\6B.tmp
%TEMP%\6E.tmp
%TEMP%\71.tmp
%TEMP%\72.tmp
%TEMP%\6F.tmp
%TEMP%\70.tmp
%TEMP%\69.tmp
%TEMP%\62.tmp
%TEMP%\63.tmp
%TEMP%\60.tmp
%TEMP%\61.tmp
%TEMP%\64.tmp
%TEMP%\67.tmp
%TEMP%\68.tmp
%TEMP%\65.tmp
%TEMP%\66.tmp

Deletes the following files:

%TEMP%\CC.tmp
%TEMP%\CD.tmp
%TEMP%\CA.tmp
%TEMP%\CB.tmp
%TEMP%\CE.tmp
%TEMP%\D1.tmp
%TEMP%\D2.tmp
%TEMP%\CF.tmp
%TEMP%\D0.tmp
%TEMP%\C9.tmp
%TEMP%\C2.tmp
%TEMP%\C3.tmp
%TEMP%\C0.tmp
%TEMP%\C1.tmp
%TEMP%\C4.tmp
%TEMP%\C7.tmp
%TEMP%\C8.tmp
%TEMP%\C5.tmp
%TEMP%\C6.tmp
%TEMP%\DF.tmp
%TEMP%\E0.tmp
%TEMP%\DD.tmp
%TEMP%\DE.tmp
%TEMP%\E1.tmp
%TEMP%\E4.tmp
%TEMP%\E5.tmp
%TEMP%\E2.tmp
%TEMP%\E3.tmp
%TEMP%\DC.tmp
%TEMP%\D5.tmp
%TEMP%\D6.tmp
%TEMP%\D3.tmp
%TEMP%\D4.tmp
%TEMP%\D7.tmp
%TEMP%\DA.tmp
%TEMP%\DB.tmp
%TEMP%\D8.tmp
%TEMP%\D9.tmp
%TEMP%\A6.tmp
%TEMP%\A7.tmp
%TEMP%\A4.tmp
%TEMP%\A5.tmp
%TEMP%\A8.tmp
%TEMP%\AB.tmp
%TEMP%\AC.tmp
%TEMP%\A9.tmp
%TEMP%\AA.tmp
%TEMP%\A3.tmp
%TEMP%\9C.tmp
%TEMP%\9D.tmp
%TEMP%\9A.tmp
%TEMP%\9B.tmp
%TEMP%\9E.tmp
%TEMP%\A1.tmp
%TEMP%\A2.tmp
%TEMP%\9F.tmp
%TEMP%\A0.tmp
%TEMP%\B9.tmp
%TEMP%\BA.tmp
%TEMP%\B7.tmp
%TEMP%\B8.tmp
%TEMP%\BB.tmp
%TEMP%\BE.tmp
%TEMP%\BF.tmp
%TEMP%\BC.tmp
%TEMP%\BD.tmp
%TEMP%\B6.tmp
%TEMP%\AF.tmp
%TEMP%\B0.tmp
%TEMP%\AD.tmp
%TEMP%\AE.tmp
%TEMP%\B1.tmp
%TEMP%\B4.tmp
%TEMP%\B5.tmp
%TEMP%\B2.tmp
%TEMP%\B3.tmp
%TEMP%\119.tmp
%TEMP%\11A.tmp
%TEMP%\117.tmp
%TEMP%\118.tmp
%TEMP%\11B.tmp
%TEMP%\11E.tmp
%TEMP%\11F.tmp
%TEMP%\11C.tmp
%TEMP%\11D.tmp
%TEMP%\116.tmp
%TEMP%\10E.tmp
%TEMP%\10F.tmp
%TEMP%\10C.tmp
%TEMP%\10D.tmp
%TEMP%\110.tmp
%TEMP%\114.tmp
%TEMP%\115.tmp
%TEMP%\111.tmp
%TEMP%\113.tmp
%TEMP%\12C.tmp
%TEMP%\12D.tmp
%TEMP%\12A.tmp
%TEMP%\12B.tmp
%TEMP%\12E.tmp
%TEMP%\131.tmp
%TEMP%\20171026193001_drop.exe
%TEMP%\12F.tmp
%TEMP%\130.tmp
%TEMP%\129.tmp
%TEMP%\122.tmp
%TEMP%\123.tmp
%TEMP%\120.tmp
%TEMP%\121.tmp
%TEMP%\124.tmp
%TEMP%\127.tmp
%TEMP%\128.tmp
%TEMP%\125.tmp
%TEMP%\126.tmp
%TEMP%\F2.tmp
%TEMP%\F3.tmp
%TEMP%\F0.tmp
%TEMP%\F1.tmp
%TEMP%\F4.tmp
%TEMP%\F7.tmp
%TEMP%\F8.tmp
%TEMP%\F5.tmp
%TEMP%\F6.tmp
%TEMP%\EF.tmp
%TEMP%\E8.tmp
%TEMP%\E9.tmp
%TEMP%\E6.tmp
%TEMP%\E7.tmp
%TEMP%\EA.tmp
%TEMP%\ED.tmp
%TEMP%\EE.tmp
%TEMP%\EB.tmp
%TEMP%\EC.tmp
%TEMP%\105.tmp
%TEMP%\106.tmp
%TEMP%\103.tmp
%TEMP%\104.tmp
%TEMP%\107.tmp
%TEMP%\10A.tmp
%TEMP%\10B.tmp
%TEMP%\108.tmp
%TEMP%\109.tmp
%TEMP%\102.tmp
%TEMP%\FB.tmp
%TEMP%\FC.tmp
%TEMP%\F9.tmp
%TEMP%\FA.tmp
%TEMP%\FD.tmp
%TEMP%\100.tmp
%TEMP%\101.tmp
%TEMP%\FE.tmp
%TEMP%\FF.tmp
%TEMP%\99.tmp
%TEMP%\33.tmp
%TEMP%\34.tmp
%TEMP%\31.tmp
%TEMP%\32.tmp
%TEMP%\35.tmp
%TEMP%\38.tmp
%TEMP%\39.tmp
%TEMP%\36.tmp
%TEMP%\37.tmp
%TEMP%\30.tmp
%TEMP%\29.tmp
%TEMP%\2A.tmp
%TEMP%\27.tmp
%TEMP%\28.tmp
%TEMP%\2B.tmp
%TEMP%\2E.tmp
%TEMP%\2F.tmp
%TEMP%\2C.tmp
%TEMP%\2D.tmp
%TEMP%\46.tmp
%TEMP%\47.tmp
%TEMP%\44.tmp
%TEMP%\45.tmp
%TEMP%\48.tmp
%TEMP%\4B.tmp
%TEMP%\4C.tmp
%TEMP%\49.tmp
%TEMP%\4A.tmp
%TEMP%\43.tmp
%TEMP%\3C.tmp
%TEMP%\3D.tmp
%TEMP%\3A.tmp
%TEMP%\3B.tmp
%TEMP%\3E.tmp
%TEMP%\41.tmp
%TEMP%\42.tmp
%TEMP%\3F.tmp
%TEMP%\40.tmp
%TEMP%\D.tmp
%TEMP%\E.tmp
%TEMP%\B.tmp
%TEMP%\C.tmp
%TEMP%\F.tmp
%TEMP%\12.tmp
%TEMP%\13.tmp
%TEMP%\10.tmp
%TEMP%\11.tmp
%TEMP%\A.tmp
%TEMP%\3.tmp
%TEMP%\4.tmp
%TEMP%\1.tmp
%TEMP%\2.tmp
%TEMP%\5.tmp
%TEMP%\8.tmp
%TEMP%\9.tmp
%TEMP%\6.tmp
%TEMP%\7.tmp
%TEMP%\20.tmp
%TEMP%\21.tmp
%TEMP%\1E.tmp
%TEMP%\1F.tmp
%TEMP%\22.tmp
%TEMP%\25.tmp
%TEMP%\26.tmp
%TEMP%\23.tmp
%TEMP%\24.tmp
%TEMP%\1D.tmp
%TEMP%\16.tmp
%TEMP%\17.tmp
%TEMP%\14.tmp
%TEMP%\15.tmp
%TEMP%\18.tmp
%TEMP%\1B.tmp
%TEMP%\1C.tmp
%TEMP%\19.tmp
%TEMP%\1A.tmp
%TEMP%\7F.tmp
%TEMP%\80.tmp
%TEMP%\7D.tmp
%TEMP%\7E.tmp
%TEMP%\81.tmp
%TEMP%\84.tmp
%TEMP%\85.tmp
%TEMP%\82.tmp
%TEMP%\83.tmp
%TEMP%\7C.tmp
%TEMP%\75.tmp
%TEMP%\76.tmp
%TEMP%\73.tmp
%TEMP%\74.tmp
%TEMP%\77.tmp
%TEMP%\7A.tmp
%TEMP%\7B.tmp
%TEMP%\78.tmp
%TEMP%\79.tmp
%TEMP%\92.tmp
%TEMP%\93.tmp
%TEMP%\90.tmp
%TEMP%\91.tmp
%TEMP%\94.tmp
%TEMP%\97.tmp
%TEMP%\98.tmp
%TEMP%\95.tmp
%TEMP%\96.tmp
%TEMP%\8F.tmp
%TEMP%\88.tmp
%TEMP%\89.tmp
%TEMP%\86.tmp
%TEMP%\87.tmp
%TEMP%\8A.tmp
%TEMP%\8D.tmp
%TEMP%\8E.tmp
%TEMP%\8B.tmp
%TEMP%\8C.tmp
%TEMP%\59.tmp
%TEMP%\5A.tmp
%TEMP%\57.tmp
%TEMP%\58.tmp
%TEMP%\5B.tmp
%TEMP%\5E.tmp
%TEMP%\5F.tmp
%TEMP%\5C.tmp
%TEMP%\5D.tmp
%TEMP%\56.tmp
%TEMP%\4F.tmp
%TEMP%\50.tmp
%TEMP%\4D.tmp
%TEMP%\4E.tmp
%TEMP%\51.tmp
%TEMP%\54.tmp
%TEMP%\55.tmp
%TEMP%\52.tmp
%TEMP%\53.tmp
%TEMP%\6C.tmp
%TEMP%\6D.tmp
%TEMP%\6A.tmp
%TEMP%\6B.tmp
%TEMP%\6E.tmp
%TEMP%\71.tmp
%TEMP%\72.tmp
%TEMP%\6F.tmp
%TEMP%\70.tmp
%TEMP%\69.tmp
%TEMP%\62.tmp
%TEMP%\63.tmp
%TEMP%\60.tmp
%TEMP%\61.tmp
%TEMP%\64.tmp
%TEMP%\67.tmp
%TEMP%\68.tmp
%TEMP%\65.tmp
%TEMP%\66.tmp

Network activity:

Connects to:

'ma###operi.it':80
'me#####dizinprodukte.de':80
'we##tum.at':80
'bo####amarcaccio.it':80
'fo#####onebellani.it':80
'be####-stiftung.de':80
'st######ntoninocalabro.it':80
'ga#####aus-bockup.de':80

TCP:

HTTP GET requests:

http://ma###operi.it/gallery/admin/Otr/gt.tif
http://me#####dizinprodukte.de/images/A1.vc
http://we##tum.at/jvassets/zarch/x.rar
http://bo####amarcaccio.it/test/o9849.rar
http://fo#####onebellani.it/stats/555.bin
http://be####-stiftung.de/files/tags/AT.png
http://st######ntoninocalabro.it/xmlrpc/cache/hotel.rar
http://ga#####aus-bockup.de/wp-admin/user/000.dmg

UDP:

DNS ASK bo####amarcaccio.it
DNS ASK ma###operi.it
DNS ASK re#####r1.opendns.com
DNS ASK we##tum.at
DNS ASK me#####dizinprodukte.de
DNS ASK fo#####onebellani.it
DNS ASK be####-stiftung.de
DNS ASK st######ntoninocalabro.it
DNS ASK ga#####aus-bockup.de

Miscellaneous:

Searches for the following windows:

ClassName: 'ProgMan' WindowName: ''

Tecnologie

Termini

Formazione ed informazione

Falsi miti

Technical Information

Curing recommendations

Free trial