Trojan.DownLoader9.10137

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\egmhxuxl.exe'
'<SYSTEM32>\vmdvltxs.exe'
'<SYSTEM32>\lhezqdog.exe'
'<SYSTEM32>\kvkkesvh.exe'
'<SYSTEM32>\itlxbfmq.exe'
'<SYSTEM32>\sryejpsm.exe'
'<SYSTEM32>\aohqnstz.exe'
'<SYSTEM32>\htxpqjus.exe'
'<SYSTEM32>\gbjptcvi.exe'
'<SYSTEM32>\eixsjppy.exe'
'<SYSTEM32>\qmnwkvyz.exe'
'<SYSTEM32>\lchfvrhw.exe'
'<SYSTEM32>\flrpzolz.exe'
'<SYSTEM32>\rwagoijs.exe'
'<SYSTEM32>\fxbehzda.exe'
'<SYSTEM32>\gplqvxck.exe'
'<SYSTEM32>\ghdpzizh.exe'
'<SYSTEM32>\bwghgamp.exe'
'<SYSTEM32>\vkpaskys.exe'
'<SYSTEM32>\aabadstj.exe'
'<SYSTEM32>\vhcykdjx.exe'
'<SYSTEM32>\keolrwbq.exe'
'<SYSTEM32>\kfqqqzlb.exe'
'<SYSTEM32>\ckhcztgw.exe'
'<SYSTEM32>\kadwjcjj.exe'
'<SYSTEM32>\jlqtuybs.exe'
'<SYSTEM32>\awugnkcz.exe'
'<SYSTEM32>\voppvget.exe'
'<SYSTEM32>\qujjcflb.exe'
'<SYSTEM32>\vrgwbisa.exe'
'<SYSTEM32>\zlujrzfv.exe'
'<SYSTEM32>\ycrpbhlt.exe'
'<SYSTEM32>\ssdfhlhz.exe'
'<SYSTEM32>\yttwildk.exe'
'<SYSTEM32>\smsrowel.exe'
'<SYSTEM32>\qxueamwz.exe'
'<SYSTEM32>\tpulczhj.exe'
'<SYSTEM32>\pcknfkhy.exe'
'<SYSTEM32>\fmpgzklg.exe'
'<SYSTEM32>\mzbsskgf.exe'
'<SYSTEM32>\uyxwxxse.exe'
'<SYSTEM32>\tfahqxfc.exe'
'<SYSTEM32>\etyfenvt.exe'
'<SYSTEM32>\khhdxnsf.exe'
'<SYSTEM32>\loksdpqd.exe'
'<SYSTEM32>\erulkxzu.exe'
'<SYSTEM32>\zopgxgqh.exe'
'<SYSTEM32>\rvlkceoc.exe'
'<SYSTEM32>\obqgbbcj.exe'
'<SYSTEM32>\nwycggrq.exe'
'<SYSTEM32>\zzvkdowg.exe'
'<SYSTEM32>\ayurrial.exe'
'<SYSTEM32>\rmwrxihg.exe'
'<SYSTEM32>\tscgkynr.exe'
'<SYSTEM32>\drmoujsd.exe'
'<SYSTEM32>\ucctnqkj.exe'
'<SYSTEM32>\wwtnboiy.exe'
'<SYSTEM32>\udumpavr.exe'
'<SYSTEM32>\uapgfcfe.exe'
'<SYSTEM32>\gbgnjmxi.exe'
'<SYSTEM32>\qyhqvqjb.exe'
'<SYSTEM32>\tqdjytpn.exe'
'<SYSTEM32>\zqyyuxim.exe'
'<SYSTEM32>\bhdobbnq.exe'
'<SYSTEM32>\esjxlcbe.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\kvkkesvh.exe
<SYSTEM32>\egmhxuxl.exe
<SYSTEM32>\rwagoijs.exe
<SYSTEM32>\lhezqdog.exe
<SYSTEM32>\htxpqjus.exe
<SYSTEM32>\itlxbfmq.exe
<SYSTEM32>\vmdvltxs.exe
<SYSTEM32>\aohqnstz.exe
<SYSTEM32>\flrpzolz.exe
<SYSTEM32>\qmnwkvyz.exe
<SYSTEM32>\lchfvrhw.exe
<SYSTEM32>\drmoujsd.exe
<SYSTEM32>\ssdfhlhz.exe
<SYSTEM32>\fxbehzda.exe
<SYSTEM32>\gplqvxck.exe
<SYSTEM32>\gbjptcvi.exe
<SYSTEM32>\eixsjppy.exe
<SYSTEM32>\ghdpzizh.exe
<SYSTEM32>\bwghgamp.exe
<SYSTEM32>\vkpaskys.exe
<SYSTEM32>\aabadstj.exe
<SYSTEM32>\vhcykdjx.exe
<SYSTEM32>\keolrwbq.exe
<SYSTEM32>\kfqqqzlb.exe
<SYSTEM32>\ckhcztgw.exe
<SYSTEM32>\vrgwbisa.exe
<SYSTEM32>\voppvget.exe
<SYSTEM32>\kadwjcjj.exe
<SYSTEM32>\sryejpsm.exe
<SYSTEM32>\awugnkcz.exe
<SYSTEM32>\ycrpbhlt.exe
<SYSTEM32>\qujjcflb.exe
<SYSTEM32>\jlqtuybs.exe
<SYSTEM32>\zlujrzfv.exe
<SYSTEM32>\tscgkynr.exe
<SYSTEM32>\zopgxgqh.exe
<SYSTEM32>\qxueamwz.exe
<SYSTEM32>\obqgbbcj.exe
<SYSTEM32>\erulkxzu.exe
<SYSTEM32>\smsrowel.exe
<SYSTEM32>\mzbsskgf.exe
<SYSTEM32>\tpulczhj.exe
<SYSTEM32>\yttwildk.exe
<SYSTEM32>\rvlkceoc.exe
<SYSTEM32>\MSWINSCK.ocx
<SYSTEM32>\khhdxnsf.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
<SYSTEM32>\tfahqxfc.exe
<SYSTEM32>\etyfenvt.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
<SYSTEM32>\loksdpqd.exe
<SYSTEM32>\ayurrial.exe
<SYSTEM32>\rmwrxihg.exe
<SYSTEM32>\tqdjytpn.exe
<SYSTEM32>\zqyyuxim.exe
<SYSTEM32>\ucctnqkj.exe
<SYSTEM32>\wwtnboiy.exe
<SYSTEM32>\nwycggrq.exe
<SYSTEM32>\zzvkdowg.exe
<SYSTEM32>\esjxlcbe.exe
<SYSTEM32>\fmpgzklg.exe
<SYSTEM32>\gbgnjmxi.exe
<SYSTEM32>\uyxwxxse.exe
<SYSTEM32>\pcknfkhy.exe
<SYSTEM32>\uapgfcfe.exe
<SYSTEM32>\bhdobbnq.exe
<SYSTEM32>\qyhqvqjb.exe
<SYSTEM32>\udumpavr.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\egmhxuxl.exe
<SYSTEM32>\vmdvltxs.exe
<SYSTEM32>\lhezqdog.exe
<SYSTEM32>\kvkkesvh.exe
<SYSTEM32>\itlxbfmq.exe
<SYSTEM32>\sryejpsm.exe
<SYSTEM32>\aohqnstz.exe
<SYSTEM32>\htxpqjus.exe
<SYSTEM32>\gbjptcvi.exe
<SYSTEM32>\eixsjppy.exe
<SYSTEM32>\qmnwkvyz.exe
<SYSTEM32>\lchfvrhw.exe
<SYSTEM32>\flrpzolz.exe
<SYSTEM32>\rwagoijs.exe
<SYSTEM32>\fxbehzda.exe
<SYSTEM32>\gplqvxck.exe
<SYSTEM32>\ghdpzizh.exe
<SYSTEM32>\bwghgamp.exe
<SYSTEM32>\vkpaskys.exe
<SYSTEM32>\aabadstj.exe
<SYSTEM32>\vhcykdjx.exe
<SYSTEM32>\keolrwbq.exe
<SYSTEM32>\kfqqqzlb.exe
<SYSTEM32>\ckhcztgw.exe
<SYSTEM32>\kadwjcjj.exe
<SYSTEM32>\jlqtuybs.exe
<SYSTEM32>\awugnkcz.exe
<SYSTEM32>\voppvget.exe
<SYSTEM32>\qujjcflb.exe
<SYSTEM32>\vrgwbisa.exe
<SYSTEM32>\zlujrzfv.exe
<SYSTEM32>\ycrpbhlt.exe
<SYSTEM32>\ssdfhlhz.exe
<SYSTEM32>\yttwildk.exe
<SYSTEM32>\smsrowel.exe
<SYSTEM32>\qxueamwz.exe
<SYSTEM32>\tpulczhj.exe
<SYSTEM32>\pcknfkhy.exe
<SYSTEM32>\fmpgzklg.exe
<SYSTEM32>\mzbsskgf.exe
<SYSTEM32>\uyxwxxse.exe
<SYSTEM32>\tfahqxfc.exe
<SYSTEM32>\etyfenvt.exe
<SYSTEM32>\khhdxnsf.exe
<SYSTEM32>\loksdpqd.exe
<SYSTEM32>\erulkxzu.exe
<SYSTEM32>\zopgxgqh.exe
<SYSTEM32>\rvlkceoc.exe
<SYSTEM32>\obqgbbcj.exe
<SYSTEM32>\nwycggrq.exe
<SYSTEM32>\zzvkdowg.exe
<SYSTEM32>\ayurrial.exe
<SYSTEM32>\rmwrxihg.exe
<SYSTEM32>\tscgkynr.exe
<SYSTEM32>\drmoujsd.exe
<SYSTEM32>\ucctnqkj.exe
<SYSTEM32>\wwtnboiy.exe
<SYSTEM32>\udumpavr.exe
<SYSTEM32>\uapgfcfe.exe
<SYSTEM32>\gbgnjmxi.exe
<SYSTEM32>\qyhqvqjb.exe
<SYSTEM32>\tqdjytpn.exe
<SYSTEM32>\zqyyuxim.exe
<SYSTEM32>\bhdobbnq.exe
<SYSTEM32>\esjxlcbe.exe

Удаляет следующие файлы:

%TEMP%\~DFAD8C.tmp
%TEMP%\~DFD830.tmp
%TEMP%\~DF6BB.tmp
%TEMP%\~DF3177.tmp
%TEMP%\~DFEFFE.tmp
%TEMP%\~DF1CD2.tmp
%TEMP%\~DF49C7.tmp
%TEMP%\~DF7EF9.tmp
%TEMP%\~DF1C7D.tmp
%TEMP%\~DF47E0.tmp
%TEMP%\~DF75CE.tmp
%TEMP%\~DFAB55.tmp
%TEMP%\~DF5FDD.tmp
%TEMP%\~DF951A.tmp
%TEMP%\~DFC2F3.tmp
%TEMP%\~DFEE93.tmp
%TEMP%\~DFE365.tmp
%TEMP%\~DF3662.tmp
%TEMP%\~DF4694.tmp
%TEMP%\~DF8F5A.tmp
%TEMP%\~DF4DCE.tmp
%TEMP%\~DF7766.tmp
%TEMP%\~DFB7A5.tmp
%TEMP%\~DFDD2C.tmp
%TEMP%\~DF3456.tmp
%TEMP%\~DF87B8.tmp
%TEMP%\~DF969C.tmp
%TEMP%\~DFE0F7.tmp
%TEMP%\~DF9FA1.tmp
%TEMP%\~DFCB6A.tmp
%TEMP%\~DF927.tmp
%TEMP%\~DF2EB8.tmp
%TEMP%\~DF4A8.tmp
%TEMP%\~DF1527.tmp
%TEMP%\~DF86EE.tmp
%TEMP%\~DF6F0D.tmp
%TEMP%\~DFDFE3.tmp
%TEMP%\~DF763D.tmp
%TEMP%\~DFCAF4.tmp
%TEMP%\~DFB0C4.tmp
%TEMP%\~DF2D42.tmp
%TEMP%\~DF86DE.tmp
%TEMP%\~DFF9E1.tmp
%TEMP%\~DFE0D6.tmp
%TEMP%\~DF5C90.tmp
%TEMP%\~DFC8ED.tmp
%TEMP%\~DF4440.tmp
%TEMP%\~DF2D2A.tmp
%TEMP%\~DF9E54.tmp
%TEMP%\~DF42D4.tmp
%TEMP%\~DFB723.tmp
%TEMP%\~DF9F10.tmp
%TEMP%\~DF1D42.tmp
%TEMP%\~DF5E0E.tmp
%TEMP%\~DFE9F4.tmp
%TEMP%\~DFC1D2.tmp
%TEMP%\~DF5AA8.tmp
%TEMP%\~DFB8CE.tmp
%TEMP%\~DF352C.tmp
%TEMP%\~DF1C98.tmp
%TEMP%\~DF9E91.tmp
%TEMP%\~DF55F.tmp
%TEMP%\~DF7710.tmp
%TEMP%\~DF5F26.tmp
%TEMP%\~DFD06F.tmp
%TEMP%\~DF1224.tmp
%TEMP%\~DF92AE.tmp
%TEMP%\~DF6A8D.tmp
%TEMP%\~DFBEAF.tmp
%TEMP%\~DF56B3.tmp
%TEMP%\~DFD18B.tmp
%TEMP%\~DFB98C.tmp
%TEMP%\~DF29FA.tmp
%TEMP%\~DF43BB.tmp
%TEMP%\~DFB2B8.tmp
%TEMP%\~DF9AE8.tmp
%TEMP%\~DFB4B.tmp
%TEMP%\~DFA4ED.tmp
%TEMP%\~DF3002.tmp
%TEMP%\~DF7D2.tmp
%TEMP%\~DF5BBF.tmp
%TEMP%\~DF1DAB.tmp
%TEMP%\~DF6074.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
%TEMP%\~DFC95B.tmp
%TEMP%\~DF264.tmp
%TEMP%\~DF78F0.tmp
%TEMP%\~DFF149.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
%TEMP%\~DFC335.tmp
%TEMP%\~DF1833.tmp
%TEMP%\~DFFC83.tmp
%TEMP%\~DF6EDC.tmp
%TEMP%\~DF230.tmp
%TEMP%\~DF82A2.tmp
%TEMP%\~DF69EE.tmp
%TEMP%\~DFEBA3.tmp
%TEMP%\~DF6EAA.tmp
%TEMP%\~DF4071.tmp
%TEMP%\~DF6C49.tmp
%TEMP%\~DF9A06.tmp
%TEMP%\~DFCF7F.tmp
%TEMP%\~DF83D7.tmp
%TEMP%\~DFBA71.tmp
%TEMP%\~DFE726.tmp
%TEMP%\~DF134B.tmp
%TEMP%\~DF9384.tmp
%TEMP%\~DFE5B0.tmp
%TEMP%\~DFF54A.tmp
%TEMP%\~DF3EDB.tmp
%TEMP%\~DFFDA1.tmp
%TEMP%\~DF28CF.tmp
%TEMP%\~DF66FB.tmp
%TEMP%\~DF81EF.tmp
%TEMP%\~DF8336.tmp
%TEMP%\~DFAF83.tmp
%TEMP%\~DFDBE8.tmp
%TEMP%\~DF872.tmp
%TEMP%\~DFC76B.tmp
%TEMP%\~DFF37C.tmp
%TEMP%\~DF2044.tmp
%TEMP%\~DF56B8.tmp
%TEMP%\~DFD263.tmp
%TEMP%\~DF1D07.tmp
%TEMP%\~DF2AE5.tmp
%TEMP%\~DF5836.tmp
%TEMP%\~DF4528.tmp
%TEMP%\~DF6B9E.tmp
%TEMP%\~DF70D2.tmp
%TEMP%\~DFC446.tmp

Сетевая активность:

Подключается к:

'localhost':1114
'localhost':1116
'localhost':1110
'localhost':1112
'localhost':1122
'localhost':1124
'localhost':1118
'localhost':1120
'localhost':1100
'localhost':1101
'localhost':1096
'localhost':1098
'localhost':1107
'localhost':1108
'localhost':1103
'localhost':1105
'localhost':1126
'localhost':1147
'localhost':1149
'localhost':1143
'localhost':1145
'localhost':1155
'localhost':1157
'localhost':1151
'localhost':1153
'localhost':1132
'localhost':1134
'localhost':1128
'localhost':1130
'localhost':1140
'localhost':1142
'localhost':1136
'localhost':1138
'localhost':1054
'localhost':1056
'localhost':1050
'localhost':1052
'localhost':1060
'localhost':1062
'localhost':1057
'localhost':1059
'localhost':1039
'localhost':1042
'localhost':1036
'pd###.egloos.com':80
'localhost':1047
'localhost':1048
'localhost':1043
'localhost':1045
'localhost':1064
'localhost':1085
'localhost':1087
'localhost':1081
'localhost':1083
'localhost':1093
'localhost':1094
'localhost':1089
'localhost':1091
'localhost':1070
'localhost':1072
'localhost':1066
'localhost':1068
'localhost':1077
'localhost':1079
'localhost':1074
'localhost':1076

TCP:

Запросы HTTP GET:

pd###.egloos.com/pds/201304/27/64/mswinsck.ocx

UDP:

DNS ASK pd###.egloos.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней