Trojan.DownLoader26.20608

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '<Имя файла>.exe' = '"%TEMP%\_<Имя файла>.exe_\<Имя файла>.exe" -ER -RA -Ds -Es -PR -DR -RD -ID'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\_<Имя файла>.exe_\Microsoft.VC90.CRT.manifest
%TEMP%\_<Имя файла>.exe_\msvcm80.dll
%TEMP%\_<Имя файла>.exe_\msvcm90.dll
%TEMP%\_<Имя файла>.exe_\Microsoft.VC80.CRT.manifest
%TEMP%\_<Имя файла>.exe_\Microsoft.VC80.MFC.manifest
%TEMP%\_<Имя файла>.exe_\Microsoft.VC80.OpenMP.manifest
%TEMP%\_<Имя файла>.exe_\msvcp80.dll
%TEMP%\_<Имя файла>.exe_\NotDPIAware.dll
%TEMP%\_<Имя файла>.exe_\other.ini
%TEMP%\_<Имя файла>.exe_\PE.dll
%TEMP%\_<Имя файла>.exe_\msvcp90.dll
%TEMP%\_<Имя файла>.exe_\msvcr80.dll
%TEMP%\_<Имя файла>.exe_\msvcr90.dll
%TEMP%\_<Имя файла>.exe_\lang\bg.txt
%TEMP%\_<Имя файла>.exe_\lang\en.txt
%TEMP%\_<Имя файла>.exe_\lang\fr.txt
%TEMP%\_<Имя файла>.exe_\FuncLogic.dll
%TEMP%\_<Имя файла>.exe_\GptBcd.dll
%TEMP%\_<Имя файла>.exe_\ImgFile.dll
%TEMP%\_<Имя файла>.exe_\Ldm.dll
%TEMP%\_<Имя файла>.exe_\mfc80u.dll
%TEMP%\_<Имя файла>.exe_\mfcm80.dll
%TEMP%\_<Имя файла>.exe_\mfcm80u.dll
%TEMP%\_<Имя файла>.exe_\libeay32.dll
%TEMP%\_<Имя файла>.exe_\LoadDrv.exe
%TEMP%\_<Имя файла>.exe_\mfc80.dll
%TEMP%\_<Имя файла>.exe_\plugins\imageformats\qgif4.dll
%TEMP%\_<Имя файла>.exe_\vss\amd64\vssvis\VSSCOM.exe
%TEMP%\_<Имя файла>.exe_\vss\amd64\vssxp\VSSCOM.exe
%TEMP%\_<Имя файла>.exe_\vss\win32\vss03\vss.dll
%TEMP%\_<Имя файла>.exe_\Version.ini
%TEMP%\_<Имя файла>.exe_\vss.dll
%TEMP%\_<Имя файла>.exe_\vss\amd64\vss03\VSSCOM.exe
%TEMP%\_<Имя файла>.exe_\vss\win32\vssvis\vss.dll
%TEMP%\_<Имя файла>.exe_\zz_Delete.cmd
%TEMP%\_<Имя файла>.exe_\z5_Control.cmd
%TEMP%\_<Имя файла>.exe_\z5_Control_OLD.cmd
%TEMP%\_<Имя файла>.exe_\vss\win32\vssxp\vss.dll
%TEMP%\_<Имя файла>.exe_\vsscom.exe
%TEMP%\_<Имя файла>.exe_\winpeshl.ini
%TEMP%\_<Имя файла>.exe_\SFX-Exec.exe
%TEMP%\_<Имя файла>.exe_\ShowPage.exe
%TEMP%\_<Имя файла>.exe_\ssleay32.dll
%TEMP%\_<Имя файла>.exe_\QtCore4.dll
%TEMP%\_<Имя файла>.exe_\QtGui4.dll
%TEMP%\_<Имя файла>.exe_\QtXml4.dll
%TEMP%\_<Имя файла>.exe_\Sync.dll
%TEMP%\_<Имя файла>.exe_\UserManual.pdf
%TEMP%\_<Имя файла>.exe_\ValidCheck.exe
%TEMP%\_<Имя файла>.exe_\vcomp.dll
%TEMP%\_<Имя файла>.exe_\TFTP.dll
%TEMP%\_<Имя файла>.exe_\TipInfo.exe
%TEMP%\_<Имя файла>.exe_\UiLogic.dll
%TEMP%\_<Имя файла>.exe_\FlBackup.dll
%TEMP%\_<Имя файла>.exe_\AmCore.dll
%TEMP%\_<Имя файла>.exe_\amldr
%TEMP%\_<Имя файла>.exe_\amldr.mbr
%TEMP%\_<Имя файла>.exe_\ABUserPass.exe
%TEMP%\_<Имя файла>.exe_\adi.ico
%TEMP%\_<Имя файла>.exe_\AMBackup.exe
%TEMP%\_<Имя файла>.exe_\AomeiBr\BackupRecovery.ini
%TEMP%\_<Имя файла>.exe_\BackupRecovery.ini
%TEMP%\_<Имя файла>.exe_\botva2.dll
%TEMP%\_<Имя файла>.exe_\BrFat.dll
%TEMP%\_<Имя файла>.exe_\Backup.dll
%TEMP%\_<Имя файла>.exe_\Backupper.exe
%TEMP%\_<Имя файла>.exe_\Backupper_RU_config.txt
%TEMP%\_<Имя файла>.exe_\7zSFX\7zsdrc.exe
%TEMP%\_<Имя файла>.exe_\7zSFX\7zsd_LZMA2_SRC.sfx
%TEMP%\_<Имя файла>.exe_\7zSFX\Backupper.txt
%TEMP%\_<Имя файла>.exe_\2Gpt_BCD
%TEMP%\_<Имя файла>.exe_\2Mbr_BCD
%TEMP%\_<Имя файла>.exe_\7zSFX\7zr.exe
%TEMP%\_<Имя файла>.exe_\7zSFX\Backupper_Exec.txt
%TEMP%\_<Имя файла>.exe_\ABSchedhlp.exe
%TEMP%\_<Имя файла>.exe_\ABService.exe
%TEMP%\_<Имя файла>.exe_\ABSync.exe
%TEMP%\_<Имя файла>.exe_\7zSFX\z_Pack_EXE_Local.CMD
%TEMP%\_<Имя файла>.exe_\ABCore.exe
%TEMP%\_<Имя файла>.exe_\ABEventBackup.exe
%TEMP%\_<Имя файла>.exe_\BrLog.dll
%TEMP%\_<Имя файла>.exe_\driver\amd64\amwrtdrv.sys
%TEMP%\_<Имя файла>.exe_\driver\amd64\msahci.sys
%TEMP%\_<Имя файла>.exe_\driver\i386\ambakdrv.sys
%TEMP%\_<Имя файла>.exe_\Download.dll
%TEMP%\_<Имя файла>.exe_\driver\amd64\ambakdrv.sys
%TEMP%\_<Имя файла>.exe_\driver\amd64\ammntdrv.sys
%TEMP%\_<Имя файла>.exe_\driver\i386\ammntdrv.sys
%TEMP%\_<Имя файла>.exe_\driver\LoadDrv_x64.exe
%TEMP%\_<Имя файла>.exe_\Encrypt.dll
%TEMP%\_<Имя файла>.exe_\EnumFolder.dll
%TEMP%\_<Имя файла>.exe_\driver\i386\amwrtdrv.sys
%TEMP%\_<Имя файла>.exe_\driver\i386\msahci.sys
%TEMP%\_<Имя файла>.exe_\driver\LoadDrv_Win32.exe
%TEMP%\_<Имя файла>.exe_\cfg.ini
%TEMP%\_<Имя файла>.exe_\Clone.dll
%TEMP%\_<Имя файла>.exe_\Color.xml
%TEMP%\_<Имя файла>.exe_\BrNtfs.dll
%TEMP%\_<Имя файла>.exe_\BrVol.dll
%TEMP%\_<Имя файла>.exe_\CallbackCtrl.dll
%TEMP%\_<Имя файла>.exe_\Comn.dll
%TEMP%\_<Имя файла>.exe_\Device.dll
%TEMP%\_<Имя файла>.exe_\DeviceMgr.dll
%TEMP%\_<Имя файла>.exe_\DiskMgr.dll
%TEMP%\_<Имя файла>.exe_\Compress.dll
%TEMP%\_<Имя файла>.exe_\Crash.dmp
%TEMP%\_<Имя файла>.exe_\Dev.dat

Удаляет следующие файлы:

%TEMP%\_<Имя файла>.exe_\vsscom.exe

Перемещает следующие файлы:

%TEMP%\_<Имя файла>.exe_\SFX-Exec.exe в %TEMP%\_<Имя файла>.exe_\<Имя файла>.exe

Другое:

Создает и запускает на исполнение:

'%TEMP%\_<Имя файла>.exe_\<Имя файла>.exe' -Er -RA -DS -ES -PR -DR -RD -ID

Запускает на исполнение:

'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v "<Имя файла>.exe" /d "\"%TEMP%\_<Имя файла>.exe_\<Имя файла>.exe\" -ER -RA -Ds -Es -PR -DR -RD -ID" /f
'<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers" /v "%TEMP%\_<Имя файла>.exe_\Backupper.exe" /d RUNASADMIN /f
'<SYSTEM32>\cmd.exe' /c z5_Control.cmd -Er -RA -DS -ES -PR -DR -RD -ID
'<SYSTEM32>\cmd.exe' /c Echo "<Имя файла>.exe" -ER -Ra -Ds -Es -Pr -DR -RD -IE>zz_Delete.cmd
'<SYSTEM32>\cmd.exe' /c "ren SFX-Exec.exe "<Имя файла>.exe"&start "" "<Имя файла>.exe" -Er -RA -DS -ES -PR -DR -RD -ID"