Trojan.DownLoader29.52393

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%HOMEPATH%\start menu\programs\startup\svchost.exe

Заражает следующие исполняемые файлы

<Имя диска съемного носителя>:\utorrent_backup.exe
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\chromesetup_backup.exe
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\bloc-notes.exe
<Имя диска съемного носителя>:\utorrent_backup.exe
<Имя диска съемного носителя>:\rcx5.tmp
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\rcx8.tmp
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\rcxb.tmp
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\rcxe.tmp
<Имя диска съемного носителя>:\chromesetup_backup.exe
<Имя диска съемного носителя>:\rcx11.tmp
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\rcx14.tmp
<Имя диска съемного носителя>:\skypesetup_backup.exe
<Имя диска съемного носителя>:\rcx17.tmp

Изменения в файловой системе

Создает следующие файлы

%TEMP%\citut.resources
%TEMP%\kngzjkkzp.resources
%TEMP%\xzolehx.resources
%TEMP%\pvvflhru.0.vb
%TEMP%\pvvflhru.cmdline
%TEMP%\pvvflhru.out
%TEMP%\vbcc.tmp
%TEMP%\resd.tmp
%TEMP%\epudpapbh.resources
%TEMP%\qm.resources
%TEMP%\o6pgj7sl.0.vb
%TEMP%\o6pgj7sl.cmdline
%TEMP%\o6pgj7sl.out
%TEMP%\96tga_d2.cmdline
%TEMP%\vbcf.tmp
%TEMP%\vu.resources
%TEMP%\jozafhv.resources
%TEMP%\xcozfoql.0.vb
%TEMP%\xcozfoql.cmdline
%TEMP%\xcozfoql.out
%TEMP%\vbc12.tmp
%TEMP%\res13.tmp
%TEMP%\qzgkgc.resources
%TEMP%\lnkjw.resources
%TEMP%\m2amqfyc.0.vb
%TEMP%\m2amqfyc.cmdline
%TEMP%\m2amqfyc.out
%TEMP%\vbc9.tmp
%TEMP%\resa.tmp
%TEMP%\tsafylp8.out
%TEMP%\tsafylp8.cmdline
%TEMP%\tsafylp8.0.vb
%TEMP%\svchost.exe
%TEMP%\k4cp4s3.resources
%TEMP%\msnpsharp.dll
%TEMP%\odtgreu7.0.vb
%TEMP%\odtgreu7.cmdline
%TEMP%\odtgreu7.out
%TEMP%\vbc1.tmp
%TEMP%\res2.tmp
%TEMP%\odtgreu7.exe
%TEMP%\pcti.resources
%TEMP%\w.resources
%TEMP%\whatdafock.txt
%TEMP%\vbc15.tmp
%TEMP%\res10.tmp
%TEMP%\96tga_d2.0.vb
%TEMP%\vbc3.tmp
%TEMP%\res4.tmp
%TEMP%\windowsupdate.ico
%TEMP%\h.resources
%TEMP%\mfpacdd.resources
%TEMP%\ytyrhb9n.0.vb
%TEMP%\ytyrhb9n.cmdline
%TEMP%\ytyrhb9n.out
%TEMP%\vbc6.tmp
%TEMP%\res7.tmp
%TEMP%\q.resources
%TEMP%\ddmh.resources
%TEMP%\setup.exe
%TEMP%\96tga_d2.out
%TEMP%\res16.tmp

Удаляет следующие файлы

%TEMP%\res2.tmp
%TEMP%\pvvflhru.out
%TEMP%\pvvflhru.cmdline
%TEMP%\pvvflhru.0.vb
%TEMP%\kngzjkkzp.resources
%TEMP%\xzolehx.resources
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
%TEMP%\res10.tmp
%TEMP%\vbcf.tmp
%TEMP%\o6pgj7sl.cmdline
%TEMP%\o6pgj7sl.out
%TEMP%\o6pgj7sl.0.vb
%TEMP%\epudpapbh.resources
%TEMP%\qm.resources
%TEMP%\res13.tmp
%TEMP%\lnkjw.resources
%TEMP%\vbc12.tmp
%TEMP%\xcozfoql.0.vb
%TEMP%\xcozfoql.cmdline
%TEMP%\xcozfoql.out
%TEMP%\vu.resources
%TEMP%\jozafhv.resources
<Имя диска съемного носителя>:\calc_backup.exe
%TEMP%\res16.tmp
%TEMP%\vbc15.tmp
%TEMP%\m2amqfyc.cmdline
%TEMP%\m2amqfyc.out
%TEMP%\m2amqfyc.0.vb
%TEMP%\qzgkgc.resources
%TEMP%\vbcc.tmp
<Имя диска съемного носителя>:\chromesetup_backup.exe
%TEMP%\resd.tmp
%TEMP%\windowsupdate.ico
%TEMP%\vbc1.tmp
%TEMP%\odtgreu7.exe
%TEMP%\odtgreu7.out
%TEMP%\odtgreu7.cmdline
%TEMP%\odtgreu7.0.vb
%TEMP%\res4.tmp
%TEMP%\vbc3.tmp
%TEMP%\96tga_d2.cmdline
%TEMP%\96tga_d2.0.vb
%TEMP%\96tga_d2.out
%TEMP%\pcti.resources
%TEMP%\w.resources
<Имя диска съемного носителя>:\utorrent_backup.exe
%TEMP%\res7.tmp
%TEMP%\ddmh.resources
%TEMP%\vbc6.tmp
%TEMP%\ytyrhb9n.cmdline
%TEMP%\ytyrhb9n.out
%TEMP%\ytyrhb9n.0.vb
%TEMP%\h.resources
%TEMP%\mfpacdd.resources
<Имя диска съемного носителя>:\winmine_backup.exe
%TEMP%\resa.tmp
%TEMP%\vbc9.tmp
%TEMP%\tsafylp8.cmdline
%TEMP%\tsafylp8.out
%TEMP%\tsafylp8.0.vb
%TEMP%\q.resources
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe

Подменяет следующие исполняемые файлы

<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\chromesetup.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\skypesetup.exe

Подменяет следующие файлы

<Имя диска съемного носителя>:\utorrent_backup.exe
%TEMP%\windowsupdate.ico
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\chromesetup_backup.exe
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe

Сетевая активность

Подключается к

'17#.#3.169.14':80

Другое

Создает и запускает на исполнение

'%TEMP%\svchost.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13.tmp" "%TEMP%\vbc12.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\xcozfoql.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\o6pgj7sl.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\pvvflhru.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\m2amqfyc.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ytyrhb9n.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\96tga_d2.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\odtgreu7.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tsafylp8.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16.tmp" "%TEMP%\vbc15.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\odtgreu7.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\96tga_d2.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ytyrhb9n.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tsafylp8.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\pvvflhru.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\o6pgj7sl.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\xcozfoql.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13.tmp" "%TEMP%\vbc12.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\m2amqfyc.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16.tmp" "%TEMP%\vbc15.tmp"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней