Trojan.DownLoader29.46724

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Заражает следующие исполняемые файлы

Создает следующие файлы на съемном носителе

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ivs.resources
%TEMP%\vbc9.tmp
%TEMP%\resa.tmp
%TEMP%\windowsupdate.ico
%TEMP%\uttc.tmp.new
%APPDATA%\utorrent\toolbar.benc.new
%TEMP%\z.resources
%TEMP%\xo.resources
%TEMP%\3b7oqbf6.0.vb
%TEMP%\3b7oqbf6.out
%TEMP%\res11.tmp
%TEMP%\vbcd.tmp
%TEMP%\rese.tmp
%TEMP%\kji.resources
%TEMP%\n.resources
%TEMP%\jp39utka.0.vb
%TEMP%\jp39utka.cmdline
%TEMP%\jp39utka.out
%TEMP%\vbc10.tmp
%TEMP%\kzwcfnax.out
%TEMP%\3b7oqbf6.cmdline
%TEMP%\kzwcfnax.cmdline
%TEMP%\res2.tmp
%TEMP%\svchost.exe
%TEMP%\utorrent.exe
%TEMP%\d45z3.resources
%TEMP%\msnpsharp.dll
%TEMP%\22o32e36.0.vb
%TEMP%\22o32e36.cmdline
%TEMP%\22o32e36.out
%TEMP%\vbc1.tmp
%TEMP%\22o32e36.exe
%TEMP%\whatdafock.txt
%TEMP%\utt3.tmp.new
%APPDATA%\microsoft\crypto\rsa\s-1-5-21-1229272821-842925246-1060284298-1003\1f91d2d17ea675d4c2c3192e241743f9_5f9fe710-99e6-4c04-be62-a7f1b8b321d1
%TEMP%\hyd8.tmp.1563604597\hta\install.1563604597.zip
%TEMP%\t3qc
%HOMEPATH%\cookies\user@localhost[1].txt
%APPDATA%\utorrent\settings.dat.new
%TEMP%\gpektuzgi.resources
%TEMP%\wsox.resources
%TEMP%\kzwcfnax.0.vb
%HOMEPATH%\cookies\user@localhost[2].txt

Удаляет следующие файлы

Перемещает следующие файлы

Подменяет следующие исполняемые файлы

Подменяет следующие файлы

Сетевая активность

Подключается к

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%TEMP%\svchost.exe'
'%TEMP%\utorrent.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\22o32e36.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\kzwcfnax.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3b7oqbf6.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE.tmp" "%TEMP%\vbcD.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jp39utka.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES11.tmp" "%TEMP%\vbc10.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\22o32e36.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\kzwcfnax.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3b7oqbf6.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE.tmp" "%TEMP%\vbcD.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jp39utka.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES11.tmp" "%TEMP%\vbc10.tmp"