Trojan.DownLoader29.46902

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v2.0.50727\msbuild.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\rzblrvzwf.txt
%APPDATA%\svchost.exe

Перемещает следующие файлы

%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\google chrome.lnk в %APPDATA%\random\google chrome.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\icq.lnk в %APPDATA%\random\icq.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\internet explorer.lnk в %APPDATA%\random\internet explorer.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\mail.ru agent.lnk в %APPDATA%\random\mail.ru agent.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\opera.lnk в %APPDATA%\random\opera.lnk
%APPDATA%\microsoft\internet explorer\quick launch\user pinned\taskbar\windows explorer.lnk в %APPDATA%\random\windows explorer.lnk

Сетевая активность

Подключается к

'localhost':333
'1.###.219.47':443

Другое

Создает и запускает на исполнение

'%APPDATA%\svchost.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\8-nngx-y.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES669C.tmp" "%TEMP%\vbc669B.tmp"' (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "GoogleUpdateTaskMachineCore" /tr "%APPDATA%\svchost.exe"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\qinkhvus.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES69F8.tmp" "%TEMP%\vbc69F7.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\o1bgx9oa.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6B9E.tmp" "%TEMP%\vbc6B9D.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\mtdsrtwv.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6D15.tmp" "%TEMP%\vbc6D14.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ahxe5nha.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6E8C.tmp" "%TEMP%\vbc6E8B.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\m2wfjqit.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6FE3.tmp" "%TEMP%\vbc6FE2.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fxdb80xu.cmdline"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\msbuild.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\8-nngx-y.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES669C.tmp" "%TEMP%\vbc669B.tmp"
'%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "GoogleUpdateTaskMachineCore" /tr "%APPDATA%\svchost.exe"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\qinkhvus.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES69F8.tmp" "%TEMP%\vbc69F7.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\o1bgx9oa.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6B9E.tmp" "%TEMP%\vbc6B9D.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\mtdsrtwv.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6D15.tmp" "%TEMP%\vbc6D14.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ahxe5nha.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6E8C.tmp" "%TEMP%\vbc6E8B.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\m2wfjqit.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6FE3.tmp" "%TEMP%\vbc6FE2.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fxdb80xu.cmdline"