Trojan.WSF.SMOKELOADER.AA

该木马程序不具备任何传播功能。

它不具备任何后门功能。

截至本文撰写时，上述网站均已无法访问。

它不具备任何信息窃取功能。

Installation

该木马会添加以下进程：

• If Drive C: is greater than 50GB:
  • %System%\cmd.exe /c powErshEll -nop -w hiddEn -Ep bypass -Enc {Base64 Command}
  • powErshEll -nop -w hiddEn -Ep bypass -Enc {Base64 Command}
  • If file is downloaded successfully:
    • %User Temp%\oBuf.exe

(Note: %User Temp% 是当前用户的临时文件夹,通常位于此路径 C:\Documents and Settings\{user name}\Local Settings\Temp 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Local\Temp 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

Propagation

该木马程序不具备任何传播功能。

Backdoor Routine

该木马程序不具备任何后门功能。

Rootkit Capabilities

该木马程序不具备Rootkit功能。

下载例程

该木马会连接以下网站以下载并执行恶意文件：

• http://{BLOCKED}gazineforanimalsunicum.ru/download/svc.exe

它会使用以下名称保存下载的文件：

• %User Temp%\oBuf.exe

(Note: %User Temp% 是当前用户的临时文件夹,通常位于此路径 C:\Documents and Settings\{user name}\Local Settings\Temp 在Windows 2000（32位）、XP及Server 2003（32位）系统上，或 C:\Users\{user name}\AppData\Local\Temp 在Windows Vista、7、8、8.1、2008（64位）、2012（64位）及10（64位）系统上。）

截至本文撰写时，上述网站均已无法访问。

Information Theft

该木马程序不具备任何信息窃取功能

其他信息

该木马程序会执行以下操作：

• It does not proceed with its routine if Drive C: is less than 50GB.

它不会利用任何漏洞。