Trojan.DownLoader30.13447

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%HOMEPATH%\start menu\programs\startup\svchost.exe

Заражает следующие исполняемые файлы

<Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\notepad_backup.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\bloc-notes.exe
<Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
<Имя диска съемного носителя>:\rcx5.tmp
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\rcx8.tmp
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\rcxb.tmp
<Имя диска съемного носителя>:\skypesetup_backup.exe
<Имя диска съемного носителя>:\rcxe.tmp
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\rcx11.tmp
<Имя диска съемного носителя>:\notepad_backup.exe
<Имя диска съемного носителя>:\rcx14.tmp

Изменения в файловой системе

Создает следующие файлы

%TEMP%\oft.resources
%TEMP%\hr5apesi.0.vb
%TEMP%\hr5apesi.cmdline
%TEMP%\hr5apesi.out
%TEMP%\vbc9.tmp
%TEMP%\resa.tmp
%TEMP%\erahyd.resources
%TEMP%\ylz.resources
%TEMP%\toryvdfj.0.vb
%TEMP%\toryvdfj.cmdline
%TEMP%\toryvdfj.out
%TEMP%\vbcc.tmp
%TEMP%\pdd.resources
%TEMP%\vbc12.tmp
%TEMP%\vykqovvoi.resources
%TEMP%\ls2u5niz.0.vb
%TEMP%\ls2u5niz.cmdline
%TEMP%\ls2u5niz.out
%TEMP%\vbcf.tmp
%TEMP%\res10.tmp
%TEMP%\rjzac.resources
%TEMP%\gykn.resources
%TEMP%\q89yq_hm.0.vb
%TEMP%\q89yq_hm.cmdline
%TEMP%\q89yq_hm.out
%TEMP%\wlsoxflkv.resources
%TEMP%\resd.tmp
%TEMP%\dzrxd.resources
%TEMP%\aojdzert.resources
%TEMP%\winmine.exe
%TEMP%\svchost.exe
%TEMP%\lz10281p.resources
%TEMP%\msnpsharp.dll
%TEMP%\rukc2h7t.0.vb
%TEMP%\rukc2h7t.cmdline
%TEMP%\rukc2h7t.out
%TEMP%\vbc1.tmp
%TEMP%\res2.tmp
%TEMP%\rukc2h7t.exe
%TEMP%\sp.resources
%TEMP%\whatdafock.txt
%TEMP%\vbc6.tmp
%TEMP%\zultwfnf.0.vb
%TEMP%\zultwfnf.cmdline
%TEMP%\zultwfnf.out
%TEMP%\vbc3.tmp
%TEMP%\res4.tmp
%TEMP%\windowsupdate.ico
%TEMP%\plpvco.resources
%TEMP%\gydkfkot.resources
%TEMP%\ovzuir1d.0.vb
%TEMP%\ovzuir1d.cmdline
%TEMP%\ovzuir1d.out
%TEMP%\res7.tmp
%TEMP%\res13.tmp

Удаляет следующие файлы

%TEMP%\res2.tmp
%TEMP%\wlsoxflkv.resources
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
%TEMP%\resd.tmp
%TEMP%\vbcc.tmp
%TEMP%\toryvdfj.out
%TEMP%\toryvdfj.cmdline
%TEMP%\toryvdfj.0.vb
%TEMP%\erahyd.resources
%TEMP%\ylz.resources
<Имя диска съемного носителя>:\skypesetup_backup.exe
%TEMP%\res10.tmp
%TEMP%\ls2u5niz.0.vb
%TEMP%\gykn.resources
%TEMP%\ls2u5niz.cmdline
%TEMP%\ls2u5niz.out
%TEMP%\pdd.resources
%TEMP%\vykqovvoi.resources
<Имя диска съемного носителя>:\calc_backup.exe
%TEMP%\res13.tmp
%TEMP%\vbc12.tmp
%TEMP%\q89yq_hm.0.vb
%TEMP%\q89yq_hm.out
%TEMP%\q89yq_hm.cmdline
%TEMP%\rjzac.resources
%TEMP%\dzrxd.resources
%TEMP%\vbcf.tmp
%TEMP%\hr5apesi.out
%TEMP%\aojdzert.resources
%TEMP%\vbc1.tmp
%TEMP%\rukc2h7t.exe
%TEMP%\rukc2h7t.out
%TEMP%\rukc2h7t.0.vb
%TEMP%\rukc2h7t.cmdline
%TEMP%\res4.tmp
%TEMP%\vbc3.tmp
%TEMP%\zultwfnf.out
%TEMP%\zultwfnf.0.vb
%TEMP%\zultwfnf.cmdline
%TEMP%\sp.resources
<Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
%TEMP%\hr5apesi.0.vb
%TEMP%\windowsupdate.ico
%TEMP%\res7.tmp
%TEMP%\vbc6.tmp
%TEMP%\ovzuir1d.0.vb
%TEMP%\ovzuir1d.cmdline
%TEMP%\ovzuir1d.out
%TEMP%\plpvco.resources
%TEMP%\gydkfkot.resources
<Имя диска съемного носителя>:\wrar520_backup.exe
%TEMP%\resa.tmp
%TEMP%\vbc9.tmp
%TEMP%\hr5apesi.cmdline
<Имя диска съемного носителя>:\notepad_backup.exe

Подменяет следующие исполняемые файлы

<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\skypesetup.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\notepad.exe

Подменяет следующие файлы

<Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
%TEMP%\windowsupdate.ico
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\notepad_backup.exe

Сетевая активность

Подключается к

'17#.#3.169.14':80

Другое

Создает и запускает на исполнение

'%TEMP%\winmine.exe'
'%TEMP%\svchost.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\rukc2h7t.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zultwfnf.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ovzuir1d.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hr5apesi.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\toryvdfj.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ls2u5niz.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\q89yq_hm.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13.tmp" "%TEMP%\vbc12.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\rukc2h7t.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zultwfnf.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ovzuir1d.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hr5apesi.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\toryvdfj.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ls2u5niz.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\q89yq_hm.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13.tmp" "%TEMP%\vbc12.tmp"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней