А вот и разновидность... Встречайте свеженький - Trojan.Crossrider1.28710!

Technical Information

Malicious functions:
Creates and executes the following:
  • '%TEMP%\30238.exe'
  • '%TEMP%\30238.exe' (downloaded from the Internet)
  • '<Full path to virus>' (downloaded from the Internet)
Executes the following:
  • '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 1000
  • '<SYSTEM32>\cmd.exe' /c ""%TEMP%\15092.bat" "<Full path to virus>""
Modifies file system :
Creates the following files:
  • %TEMP%\30238.exe
  • %TEMP%\15092.bat
Deletes itself.
Network activity:
Connects to:
  • 'dl.###edomax.com':80
  • 'er####.crossrider.com':80
TCP:
HTTP GET requests:
  • http://er####.crossrider.com/utility.gif?re######################################################
  • http://er####.crossrider.com/utility.gif?re##########################################################
  • http://dl.###edomax.com/catchall3plus/allmpl1/setup.exe_e
  • http://er####.crossrider.com/utility.gif?er######################################################################
  • http://er####.crossrider.com/utility.gif?er#############################################################################
  • http://er####.crossrider.com/utility.gif?er###########################################################################
  • http://dl.###edomax.com/catchall3plus/allmpl1/setup.exe_b
  • http://er####.crossrider.com/utility.gif?re########################################################
  • http://er####.crossrider.com/utility.gif?re#################################################
  • http://er####.crossrider.com/utility.gif?er#####################################################################
  • http://dl.###edomax.com/catchall3plus/allmpl1/setup.exe_d
  • http://dl.###edomax.com/catchall3plus/allmpl1/setup.exe_c
  • http://dl.###edomax.com/catchall3plus/allmpl1/setup.exe_a
UDP:
  • DNS ASK dl.###edomax.com
  • DNS ASK er####.crossrider.com