Trojan.DownLoader35.8831

Technical Information

Malicious functions

Reads files which store third party applications passwords

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Modifies file system

Creates the following files

%APPDATA%\gfersesurity\bestof.exe
%TEMP%\tmp1a51.tmp
%TEMP%\tmp1a52.tmp
%TEMP%\tmp1a53.tmp
%TEMP%\tmp1a63.tmp
%TEMP%\tmp1a64.tmp
%TEMP%\tmp1a65.tmp
%TEMP%\tmp1a76.tmp
%TEMP%\tmp1a77.tmp
%TEMP%\tmp19d3.tmp
%TEMP%\tmp1a88.tmp
%TEMP%\tmp1a8a.tmp
%TEMP%\tmp1a8b.tmp
%TEMP%\tmp1a9b.tmp
%TEMP%\tmp1a9c.tmp
%TEMP%\tmp1a9d.tmp
%TEMP%\tmp1aae.tmp
%TEMP%\tmp1aaf.tmp
%TEMP%\tmp1ab0.tmp
%TEMP%\tmp1ab1.tmp
%TEMP%\tmp1a3e.tmp
%TEMP%\tmp1a89.tmp
%TEMP%\tmp1a40.tmp
%TEMP%\tmp1a3f.tmp
%TEMP%\tmp1a3d.tmp
%TEMP%\tmp1a1d.tmp
%TEMP%\tmp190e.tmp
%TEMP%\tmp196d.tmp
%TEMP%\tmp196e.tmp
%TEMP%\tmp197f.tmp
%TEMP%\tmp1980.tmp
%TEMP%\tmp1990.tmp
%TEMP%\tmp19a1.tmp
%TEMP%\tmp19a2.tmp
%TEMP%\tmp1ac1.tmp
%TEMP%\tmp19b2.tmp
%TEMP%\tmp1864.tmp
%TEMP%\tmp19e3.tmp
%TEMP%\tmp19e5.tmp
%TEMP%\tmp19f6.tmp
%TEMP%\tmp19f7.tmp
%TEMP%\tmp19f8.tmp
%TEMP%\tmp1a08.tmp
%TEMP%\tmp1a09.tmp
%TEMP%\tmp1a0a.tmp
%TEMP%\tmp1a0b.tmp
%TEMP%\tmp1865.tmp
%TEMP%\tmp1a1c.tmp
%TEMP%\tmp19e4.tmp
%TEMP%\tmp18cf.tmp
%TEMP%\tmp1ac2.tmp
%TEMP%\tmp1ac6.tmp
%TEMP%\tmp1b5d.tmp
%TEMP%\tmp1b5e.tmp
%TEMP%\tmp1b5f.tmp
%TEMP%\tmp1b70.tmp
%TEMP%\tmp1b71.tmp
%TEMP%\tmp1b72.tmp
%TEMP%\tmp1b73.tmp
%TEMP%\tmp1b74.tmp
%TEMP%\tmp1b84.tmp
%TEMP%\tmp1b4a.tmp
%TEMP%\tmp1b85.tmp
%TEMP%\tmp1b87.tmp
%TEMP%\tmp1b88.tmp
%TEMP%\tmp1b99.tmp
%TEMP%\tmp1b9a.tmp
%TEMP%\tmp1b9b.tmp
%TEMP%\tmp1b9c.tmp
%TEMP%\tmp1bad.tmp
%TEMP%\tmp1bae.tmp
%TEMP%\tmp1bce.tmp
%TEMP%\tmp1b5b.tmp
%TEMP%\tmp1b5c.tmp
%TEMP%\tmp1b4b.tmp
%TEMP%\tmp1b49.tmp
%TEMP%\tmp1781.tmp
%TEMP%\tmp1ad7.tmp
%TEMP%\tmp1ad8.tmp
%TEMP%\tmp1ad9.tmp
%TEMP%\tmp1ada.tmp
%TEMP%\tmp1aeb.tmp
%TEMP%\tmp1aec.tmp
%TEMP%\tmp1aed.tmp
%TEMP%\tmp1aee.tmp
%TEMP%\tmp1ac3.tmp
%TEMP%\tmp1ac5.tmp
%TEMP%\tmp1ac4.tmp
%TEMP%\tmp1aef.tmp
%TEMP%\tmp1b02.tmp
%TEMP%\tmp1b03.tmp
%TEMP%\tmp1b14.tmp
%TEMP%\tmp1b15.tmp
%TEMP%\tmp1b16.tmp
%TEMP%\tmp1b17.tmp
%TEMP%\tmp1b18.tmp
%TEMP%\tmp1b48.tmp
%TEMP%\tmp1aff.tmp
%TEMP%\tmp1b00.tmp
%TEMP%\tmp1b01.tmp
%TEMP%\tmp1844.tmp
%TEMP%\tmp1833.tmp
%TEMP%\tmp1823.tmp
%TEMP%\tmp16a4.tmp
%TEMP%\tmp16a5.tmp
%TEMP%\tmp16b5.tmp
%TEMP%\tmp16b6.tmp
%TEMP%\tmp16b7.tmp
%TEMP%\tmp16b8.tmp
%TEMP%\tmp16c9.tmp
%TEMP%\tmp16ca.tmp
%TEMP%\tmp16cb.tmp
%TEMP%\tmp1744.tmp
%TEMP%\tmp170a.tmp
%TEMP%\tmp170c.tmp
%TEMP%\tmp170d.tmp
%TEMP%\tmp171e.tmp
%TEMP%\tmp172f.tmp
%TEMP%\tmp1730.tmp
%TEMP%\tmp1731.tmp
%TEMP%\tmp1732.tmp
%TEMP%\tmp1742.tmp
%TEMP%\tmp1682.tmp
%TEMP%\tmp1681.tmp
%TEMP%\tmp1693.tmp
%TEMP%\tmp1670.tmp
%TEMP%\tmp166f.tmp
%APPDATA%\gfersesurity\bestofd.exe
%TEMP%\tmp15a2.tmp
%TEMP%\tmp15b2.tmp
%TEMP%\tmp15c1.tmp
%TEMP%\tmp15e2.tmp
%TEMP%\tmp15f3.tmp
%TEMP%\tmp15f4.tmp
%TEMP%\tmp15f5.tmp
%TEMP%\tmp1605.tmp
%TEMP%\tmp1743.tmp
%TEMP%\tmp1606.tmp
%TEMP%\tmp170b.tmp
%TEMP%\tmp1618.tmp
%TEMP%\tmp162a.tmp
%TEMP%\tmp163a.tmp
%TEMP%\tmp1610.tmp
%TEMP%\tmp163b.tmp
%TEMP%\tmp164c.tmp
%TEMP%\tmp164d.tmp
%TEMP%\tmp165d.tmp
%TEMP%\tmp165e.tmp
%TEMP%\tmp1617.tmp
%APPDATA%\gfersesurity\geo.txt
%TEMP%\tmp1629.tmp
%TEMP%\tmp1692.tmp
%TEMP%\tmp1755.tmp
%TEMP%\tmp17bf.tmp
%TEMP%\tmp17d0.tmp
%TEMP%\tmp17d1.tmp
%TEMP%\tmp17d2.tmp
%TEMP%\tmp17d3.tmp
%TEMP%\tmp17d4.tmp
%TEMP%\tmp17e5.tmp
%TEMP%\tmp17e6.tmp
%TEMP%\tmp17e7.tmp
%TEMP%\tmp17be.tmp
%TEMP%\tmp1756.tmp
%TEMP%\tmp17c0.tmp
%TEMP%\tmp17e8.tmp
%TEMP%\tmp17fc.tmp
%TEMP%\tmp17fd.tmp
%TEMP%\tmp180d.tmp
%TEMP%\tmp180e.tmp
%TEMP%\tmp180f.tmp
%TEMP%\tmp1810.tmp
%TEMP%\tmp1811.tmp
%TEMP%\tmp1822.tmp
%TEMP%\tmp17e9.tmp
%TEMP%\tmp17fa.tmp
%TEMP%\tmp17fb.tmp
%TEMP%\tmp1b86.tmp
%TEMP%\tmp1bcf.tmp
%TEMP%\tmp17bb.tmp
%TEMP%\tmp1767.tmp
%TEMP%\tmp1768.tmp
%TEMP%\tmp1769.tmp
%TEMP%\tmp176a.tmp
%TEMP%\tmp176b.tmp
%TEMP%\tmp176c.tmp
%TEMP%\tmp177d.tmp
%TEMP%\tmp177e.tmp
%TEMP%\tmp177f.tmp
%TEMP%\tmp17bc.tmp
%TEMP%\tmp17bd.tmp
%TEMP%\tmp1780.tmp
%TEMP%\tmp1793.tmp
%TEMP%\tmp1794.tmp
%TEMP%\tmp1795.tmp
%TEMP%\tmp1796.tmp
%TEMP%\tmp17a6.tmp
%TEMP%\tmp17a7.tmp
%TEMP%\tmp17a8.tmp
%TEMP%\tmp17a9.tmp
%TEMP%\tmp17aa.tmp
%TEMP%\tmp1757.tmp
%TEMP%\tmp1792.tmp
nul

Deletes the following files

%TEMP%\tmp15b2.tmp
%TEMP%\tmp1ac2.tmp
%TEMP%\tmp1ab1.tmp
%TEMP%\tmp1aaf.tmp
%TEMP%\tmp1a9d.tmp
%TEMP%\tmp1a9b.tmp
%TEMP%\tmp1a8a.tmp
%TEMP%\tmp1a88.tmp
%TEMP%\tmp1a76.tmp
%TEMP%\tmp1a64.tmp
%TEMP%\tmp1a53.tmp
%TEMP%\tmp190e.tmp
%TEMP%\tmp1a51.tmp
%TEMP%\tmp1a3d.tmp
%TEMP%\tmp1a1c.tmp
%TEMP%\tmp1a0a.tmp
%TEMP%\tmp1a08.tmp
%TEMP%\tmp19f7.tmp
%TEMP%\tmp19e5.tmp
%TEMP%\tmp19e3.tmp
%TEMP%\tmp19b2.tmp
%TEMP%\tmp19a1.tmp
%TEMP%\tmp1980.tmp
%TEMP%\tmp1a3f.tmp
%TEMP%\tmp196e.tmp
%TEMP%\tmp1ac4.tmp
%TEMP%\tmp1b5b.tmp
%TEMP%\tmp1bae.tmp
%TEMP%\tmp1bad.tmp
%TEMP%\tmp1b9c.tmp
%TEMP%\tmp1b9a.tmp
%TEMP%\tmp1b88.tmp
%TEMP%\tmp1b86.tmp
%TEMP%\tmp1b84.tmp
%TEMP%\tmp1b73.tmp
%TEMP%\tmp1b71.tmp
%TEMP%\tmp1b5f.tmp
%TEMP%\tmp1ad8.tmp
%TEMP%\tmp1ac6.tmp
%TEMP%\tmp1b4a.tmp
%TEMP%\tmp1b48.tmp
%TEMP%\tmp1b17.tmp
%TEMP%\tmp1b15.tmp
%TEMP%\tmp1b03.tmp
%TEMP%\tmp1b01.tmp
%TEMP%\tmp1aff.tmp
%TEMP%\tmp1aee.tmp
%TEMP%\tmp1aec.tmp
%TEMP%\tmp1ada.tmp
%TEMP%\tmp1b5d.tmp
%TEMP%\tmp1610.tmp
%TEMP%\tmp1865.tmp
%TEMP%\tmp1864.tmp
%TEMP%\tmp1743.tmp
%TEMP%\tmp1732.tmp
%TEMP%\tmp1730.tmp
%TEMP%\tmp171e.tmp
%TEMP%\tmp170c.tmp
%TEMP%\tmp170a.tmp
%TEMP%\tmp16ca.tmp
%TEMP%\tmp16b8.tmp
%TEMP%\tmp16b6.tmp
%TEMP%\tmp1757.tmp
%TEMP%\tmp16a5.tmp
%TEMP%\tmp1682.tmp
%TEMP%\tmp1670.tmp
%TEMP%\tmp165e.tmp
%TEMP%\tmp164d.tmp
%TEMP%\tmp163b.tmp
%TEMP%\tmp162a.tmp
%TEMP%\tmp1618.tmp
%TEMP%\tmp1606.tmp
%TEMP%\tmp15f5.tmp
%TEMP%\tmp15f3.tmp
%TEMP%\tmp1693.tmp
%TEMP%\tmp1768.tmp
%TEMP%\tmp1755.tmp
%TEMP%\tmp176a.tmp
%TEMP%\tmp1844.tmp
%TEMP%\tmp17d2.tmp
%TEMP%\tmp1833.tmp
%TEMP%\tmp1823.tmp
%TEMP%\tmp1811.tmp
%TEMP%\tmp180f.tmp
%TEMP%\tmp180d.tmp
%TEMP%\tmp17fc.tmp
%TEMP%\tmp17fa.tmp
%TEMP%\tmp17e8.tmp
%TEMP%\tmp17e6.tmp
%TEMP%\tmp17d4.tmp
%TEMP%\tmp17d0.tmp
%TEMP%\tmp176c.tmp
%TEMP%\tmp17bf.tmp
%TEMP%\tmp17bd.tmp
%TEMP%\tmp17bb.tmp
%TEMP%\tmp17a9.tmp
%TEMP%\tmp17a7.tmp
%TEMP%\tmp1796.tmp
%TEMP%\tmp1794.tmp
%TEMP%\tmp1792.tmp
%TEMP%\tmp1780.tmp
%TEMP%\tmp177e.tmp
%TEMP%\tmp1bce.tmp
%TEMP%\tmp1bcf.tmp

Network activity

TCP

HTTP GET requests

http://gf###rolklm.top/bestof/gfers.exe
http://gf###rolklm.top/bestof/gfersd.exe
http://ip##pi.com/line/
http://ch#####.amazonaws.com/

HTTP POST requests

http://93.##4.128.121/IRemotePanel
http://rr##mal.xyz/IRemotePanel

'ip###ger.org':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK ip###ger.org
DNS ASK gf###rolklm.top
DNS ASK ip##pi.com
DNS ASK rr##mal.xyz
DNS ASK ap#.ip.sb
DNS ASK ch#####.amazonaws.com
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Miscellaneous

Searches for the following windows

ClassName: 'AutoHotkey' WindowName: '<Full path to file>'

Creates and executes the following

'%APPDATA%\gfersesurity\bestof.exe'
'%APPDATA%\gfersesurity\bestofd.exe'

Executes the following

'%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 3 > nul & del ""
'%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical Information

Curing recommendations

Free trial