Trojan.DownLoader29.49555

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%HOMEPATH%\start menu\programs\startup\svchost.exe

Заражает следующие исполняемые файлы

<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\chromesetup_backup.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\bloc-notes.exe
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\rcxf.tmp
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\rcx12.tmp
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw_backup.exe
<Имя диска съемного носителя>:\rcx15.tmp
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\rcx18.tmp
<Имя диска съемного носителя>:\chromesetup_backup.exe
<Имя диска съемного носителя>:\rcx1b.tmp

Изменения в файловой системе

Создает следующие файлы

%TEMP%\qbioft.resources
%TEMP%\mzxpukeri.resources
%TEMP%\zfy.resources
%TEMP%\6mzoe-mc.0.vb
%TEMP%\6mzoe-mc.cmdline
%TEMP%\6mzoe-mc.out
%TEMP%\vbc10.tmp
%TEMP%\res11.tmp
%TEMP%\qqhhhrjf.resources
%TEMP%\d.resources
%TEMP%\hfe3isum.0.vb
%TEMP%\hfe3isum.cmdline
%TEMP%\hfe3isum.out
%TEMP%\res14.tmp
%TEMP%\vbc19.tmp
%TEMP%\xlcywuz.resources
%TEMP%\nbommtyt.resources
%TEMP%\uiwd3_bj.0.vb
%TEMP%\uiwd3_bj.cmdline
%TEMP%\uiwd3_bj.out
%TEMP%\vbc16.tmp
%TEMP%\res17.tmp
%TEMP%\b.resources
%TEMP%\pjcluue.resources
%TEMP%\ubsrimmf.0.vb
%TEMP%\ubsrimmf.cmdline
%TEMP%\ubsrimmf.out
%TEMP%\windowsupdate.ico
%TEMP%\vbc13.tmp
%TEMP%\rese.tmp
%TEMP%\zmg4.tmp
%TEMP%\skypesetup.exe
%TEMP%\svchost.exe
%TEMP%\u4qva1.resources
%TEMP%\msnpsharp.dll
%TEMP%\si6ez0t9.0.vb
%TEMP%\si6ez0t9.cmdline
%TEMP%\si6ez0t9.out
%TEMP%\vbc1.tmp
%TEMP%\res2.tmp
%TEMP%\si6ez0t9.exe
%TEMP%\defaultpackoffer.dll
%TEMP%\zmg3.tmp
%TEMP%\zmg5.tmp
%TEMP%\6hc5s0qv.out
%TEMP%\zmg6.tmp
%TEMP%\zmg7.tmp
%TEMP%\zmg8.tmp
%TEMP%\zmg9.tmp
%TEMP%\zmga.tmp
%TEMP%\zmgb.tmp
%TEMP%\zmgc.tmp
%TEMP%\vkplcklc.resources
%TEMP%\ecwbi.resources
%TEMP%\whatdafock.txt
%TEMP%\6hc5s0qv.0.vb
%TEMP%\6hc5s0qv.cmdline
%TEMP%\vbcd.tmp
%TEMP%\res1a.tmp

Удаляет следующие файлы

%TEMP%\res2.tmp
%TEMP%\zfy.resources
<Имя диска съемного носителя>:\wrar520_backup.exe
%TEMP%\res14.tmp
%TEMP%\vbc13.tmp
%TEMP%\hfe3isum.out
%TEMP%\hfe3isum.cmdline
%TEMP%\hfe3isum.0.vb
%TEMP%\qqhhhrjf.resources
%TEMP%\d.resources
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw_backup.exe
%TEMP%\res17.tmp
%TEMP%\zmgb.tmp
%TEMP%\vbc16.tmp
%TEMP%\uiwd3_bj.cmdline
%TEMP%\uiwd3_bj.out
%TEMP%\xlcywuz.resources
%TEMP%\nbommtyt.resources
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
%TEMP%\res1a.tmp
%TEMP%\vbc19.tmp
%TEMP%\ubsrimmf.out
%TEMP%\ubsrimmf.cmdline
%TEMP%\ubsrimmf.0.vb
%TEMP%\b.resources
%TEMP%\6mzoe-mc.out
%TEMP%\mzxpukeri.resources
%TEMP%\6mzoe-mc.0.vb
%TEMP%\6mzoe-mc.cmdline
%TEMP%\vbc10.tmp
%TEMP%\si6ez0t9.out
%TEMP%\si6ez0t9.0.vb
%TEMP%\si6ez0t9.exe
%TEMP%\si6ez0t9.cmdline
%TEMP%\zmg3.tmp
%TEMP%\zmg4.tmp
%TEMP%\zmg5.tmp
%TEMP%\zmg6.tmp
%TEMP%\zmg7.tmp
%TEMP%\zmg8.tmp
%TEMP%\zmg9.tmp
%TEMP%\pjcluue.resources
%TEMP%\uiwd3_bj.0.vb
%TEMP%\zmga.tmp
%TEMP%\defaultpackoffer.dll
%TEMP%\rese.tmp
%TEMP%\vbcd.tmp
%TEMP%\6hc5s0qv.0.vb
%TEMP%\6hc5s0qv.cmdline
%TEMP%\6hc5s0qv.out
%TEMP%\vkplcklc.resources
%TEMP%\ecwbi.resources
<Имя диска съемного носителя>:\winmine_backup.exe
%TEMP%\windowsupdate.ico
%TEMP%\res11.tmp
%TEMP%\vbc1.tmp
%TEMP%\zmgc.tmp
<Имя диска съемного носителя>:\chromesetup_backup.exe

Подменяет следующие исполняемые файлы

<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.exe
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\chromesetup.exe

Подменяет следующие файлы

<Имя диска съемного носителя>:\winmine_backup.exe
%TEMP%\windowsupdate.ico
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\chromesetup_backup.exe

Сетевая активность

Подключается к

'17#.#3.169.14':80

Другое

Создает и запускает на исполнение

'%TEMP%\skypesetup.exe'
'%TEMP%\svchost.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\si6ez0t9.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6hc5s0qv.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE.tmp" "%TEMP%\vbcD.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6mzoe-mc.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES11.tmp" "%TEMP%\vbc10.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hfe3isum.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES14.tmp" "%TEMP%\vbc13.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\uiwd3_bj.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES17.tmp" "%TEMP%\vbc16.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ubsrimmf.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A.tmp" "%TEMP%\vbc19.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\si6ez0t9.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6hc5s0qv.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE.tmp" "%TEMP%\vbcD.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6mzoe-mc.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES11.tmp" "%TEMP%\vbc10.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hfe3isum.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES14.tmp" "%TEMP%\vbc13.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\uiwd3_bj.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES17.tmp" "%TEMP%\vbc16.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ubsrimmf.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1A.tmp" "%TEMP%\vbc19.tmp"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней