Trojan.DownLoader46.48008

Technical Information

To ensure autorun and distribution

Creates or modifies the following files

<SYSTEM32>\tasks\timer

Malicious functions

To complicate detection of its presence in the operating system,

adds antivirus exclusion:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath %WINDIR%\
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath \\?\%WINDIR% \

Modifies file system

Creates the following files

%WINDIR%\system\svchost.exe
%LOCALAPPDATA%\torproject\arti\cache\dir.sqlite3-journal
%LOCALAPPDATA%\torproject\arti\cache\dir.sqlite3
%LOCALAPPDATA%\torproject\arti\data\state\circuit_timeouts.tmp
%LOCALAPPDATA%\torproject\arti\data\state\guards.tmp
%LOCALAPPDATA%\torproject\arti\cache\dir_blobs\con_microdesc_sha3-256-607fdb1b14cd9544c7a495b2c7a932c5da8bd62f5b3993c851176eb469da9a33.tmp

Deletes the following files

%LOCALAPPDATA%\torproject\arti\cache\dir.sqlite3-journal

Moves the following files

from %LOCALAPPDATA%\torproject\arti\data\state\circuit_timeouts.tmp to %LOCALAPPDATA%\torproject\arti\data\state\circuit_timeouts.json
from %LOCALAPPDATA%\torproject\arti\data\state\guards.tmp to %LOCALAPPDATA%\torproject\arti\data\state\guards.json
from %LOCALAPPDATA%\torproject\arti\cache\dir_blobs\con_microdesc_sha3-256-607fdb1b14cd9544c7a495b2c7a932c5da8bd62f5b3993c851176eb469da9a33.tmp to %LOCALAPPDATA%\torproject\arti\cache\dir_blobs\con_microdesc_sha3-256-607fdb1b14cd9544c7a495b2c7a932c5da8bd62f5b3993c851176eb469da9a33

Substitutes the following files

%LOCALAPPDATA%\torproject\arti\data\state\circuit_timeouts.tmp
%LOCALAPPDATA%\torproject\arti\data\state\guards.tmp
%LOCALAPPDATA%\torproject\arti\cache\dir.sqlite3-journal
%LOCALAPPDATA%\torproject\arti\data\state\circuit_timeouts.json
%LOCALAPPDATA%\torproject\arti\data\state\guards.json

Network activity

Connects to

'89.##.107.235':80
'19#.#5.242.99':9001
'72.#.33.15':443
'17#.#05.47.96':9001
'localhost':9050
'46.#.57.75':8443
'51.#9.2.63':9001
'13#.#48.100.92':443
'46.##.212.230':443

TCP

HTTP GET requests

http://89.##.107.235/getlog.php?a=###############################################################################################################################################################...
http://89.##.107.235/getlog.php?a=############################################################################################################################
http://89.##.107.235/getlog.php?a=####################################################################################################################################
http://89.##.107.235/getlog.php?a=################################################################################################################################################
http://89.##.107.235/?a=############################################################
http://89.##.107.235/getlog.php?a=################################################################################################################################
http://89.##.107.235/getlog.php?a=########################################################################################################################################################
http://89.##.107.235/getlog.php?a=####################################################################################################################################################
http://89.##.107.235/getlog.php?a=############################################################################################################################################################
http://89.##.107.235/getlog.php?a=########################################################################################################################################
http://89.##.107.235/getlog.php?a=####################################################################################################################

Other

'19#.#5.242.99':9001
'17#.#05.47.96':9001
'localhost':9050
'localhost':49193
'46.#.57.75':8443
'51.#9.2.63':9001
'13#.#48.100.92':443
'46.##.212.230':443

Miscellaneous

Creates and executes the following

'%WINDIR%\system\svchost.exe' formal
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath %WINDIR%\' (with hidden window)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath \\?\%WINDIR% \' (with hidden window)
'<SYSTEM32>\schtasks.exe' /delete /TN "Timer"' (with hidden window)
'<SYSTEM32>\schtasks.exe' /create /sc minute /ED "11/02/2024" /mo 7 /tn "Timer" /tr %WINDIR%\system\svchost.exe /ru SYSTEM' (with hidden window)

Executes the following

'<SYSTEM32>\schtasks.exe' /delete /TN "Timer"
'<SYSTEM32>\schtasks.exe' /create /sc minute /ED "11/02/2024" /mo 7 /tn "Timer" /tr %WINDIR%\system\svchost.exe /ru SYSTEM