Trojan.DownLoader30.24563

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<LS_APPDATA>\start\update_backup.exe
<LS_APPDATA>\start\rcx5.tmp

Заражает следующие исполняемые файлы

<Имя диска съемного носителя>:\utorrent_backup.exe
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\notepad_backup.exe
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\bloc-notes.exe
<Имя диска съемного носителя>:\utorrent_backup.exe
<Имя диска съемного носителя>:\rcx8.tmp
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\rcxb.tmp
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\rcxe.tmp
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\rcx11.tmp
<Имя диска съемного носителя>:\notepad_backup.exe
<Имя диска съемного носителя>:\rcx14.tmp
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\rcx17.tmp
<Имя диска съемного носителя>:\skypesetup_backup.exe
<Имя диска съемного носителя>:\rcx1a.tmp

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

Изменения в файловой системе

Создает следующие файлы

%TEMP%\fa.resources
%TEMP%\imqeb.resources
%TEMP%\res10.tmp
%TEMP%\vbcf.tmp
%TEMP%\vfdcyiik.out
%TEMP%\vfdcyiik.cmdline
%TEMP%\joo0reun.0.vb
%TEMP%\vfdcyiik.0.vb
%TEMP%\yd.resources
%TEMP%\resd.tmp
%TEMP%\vbcc.tmp
%TEMP%\hyn4os_o.out
%TEMP%\hyn4os_o.cmdline
%TEMP%\hyn4os_o.0.vb
%TEMP%\o.resources
%TEMP%\svur3jy-.out
%TEMP%\joo0reun.cmdline
%TEMP%\3nexaxnp.out
%TEMP%\3nexaxnp.cmdline
%TEMP%\3nexaxnp.0.vb
%TEMP%\ijooob.resources
%TEMP%\ojxskrz.resources
%TEMP%\res16.tmp
%TEMP%\s.resources
%TEMP%\xtchu.resources
%TEMP%\amogiqyn.cmdline
%TEMP%\amogiqyn.0.vb
%TEMP%\x.resources
%TEMP%\lyqibd.resources
%TEMP%\res13.tmp
%TEMP%\vbc12.tmp
%TEMP%\amogiqyn.out
%TEMP%\joo0reun.out
%TEMP%\vfnexcrad.resources
%TEMP%\resa.tmp
%TEMP%\vbc9.tmp
%TEMP%\h1atpkzt.cmdline
%TEMP%\update.exe
%TEMP%\svchost.exe
<LS_APPDATA>\start\update.exe
%TEMP%\xocyj.resources
%TEMP%\msnpsharp.dll
%TEMP%\vbc18.tmp
%TEMP%\h1atpkzt.0.vb
%TEMP%\0vhpyfal.0.vb
%TEMP%\vbc1.tmp
%TEMP%\res2.tmp
%TEMP%\h1atpkzt.exe
%TEMP%\qnucexlw.resources
%TEMP%\rwfisgs.resources
%TEMP%\h1atpkzt.out
%TEMP%\vbc15.tmp
%TEMP%\0vhpyfal.cmdline
%TEMP%\res4.tmp
%TEMP%\0vhpyfal.out
%TEMP%\hgftg3gg.out
%TEMP%\hgftg3gg.cmdline
%TEMP%\hgftg3gg.0.vb
%TEMP%\vqfkge.resources
%TEMP%\qcqxm.resources
%TEMP%\vbc3.tmp
%TEMP%\res7.tmp
%TEMP%\whatdafock.txt
%TEMP%\svur3jy-.cmdline
%TEMP%\svur3jy-.0.vb
%TEMP%\lolt.resources
%TEMP%\hfnjxmec.resources
%TEMP%\windowsupdate.ico
%TEMP%\vbc6.tmp
%TEMP%\res19.tmp

Удаляет следующие файлы

%TEMP%\res2.tmp
%TEMP%\joo0reun.cmdline
%TEMP%\joo0reun.out
%TEMP%\joo0reun.0.vb
%TEMP%\vbc12.tmp
%TEMP%\res13.tmp
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
%TEMP%\vfnexcrad.resources
%TEMP%\o.resources
%TEMP%\vfdcyiik.out
%TEMP%\vfdcyiik.0.vb
%TEMP%\vfdcyiik.cmdline
%TEMP%\vbcf.tmp
%TEMP%\res10.tmp
<Имя диска съемного носителя>:\wrar520_backup.exe
%TEMP%\yd.resources
%TEMP%\s.resources
%TEMP%\imqeb.resources
%TEMP%\x.resources
%TEMP%\ojxskrz.resources
%TEMP%\3nexaxnp.cmdline
%TEMP%\3nexaxnp.out
%TEMP%\3nexaxnp.0.vb
%TEMP%\vbc18.tmp
%TEMP%\res19.tmp
<Имя диска съемного носителя>:\notepad_backup.exe
%TEMP%\xtchu.resources
%TEMP%\lyqibd.resources
%TEMP%\amogiqyn.0.vb
%TEMP%\amogiqyn.out
%TEMP%\amogiqyn.cmdline
%TEMP%\vbc15.tmp
%TEMP%\res16.tmp
<Имя диска съемного носителя>:\calc_backup.exe
%TEMP%\hyn4os_o.0.vb
%TEMP%\hyn4os_o.cmdline
%TEMP%\hyn4os_o.out
<LS_APPDATA>\start\update_backup.exe
%TEMP%\rwfisgs.resources
%TEMP%\qnucexlw.resources
%TEMP%\0vhpyfal.out
%TEMP%\0vhpyfal.cmdline
<LS_APPDATA>\start\update.exe
%TEMP%\0vhpyfal.0.vb
%TEMP%\res4.tmp
%TEMP%\h1atpkzt.0.vb
%TEMP%\h1atpkzt.exe
%TEMP%\h1atpkzt.out
%TEMP%\h1atpkzt.cmdline
%TEMP%\vbc1.tmp
%TEMP%\vbc3.tmp
%TEMP%\res7.tmp
%TEMP%\windowsupdate.ico
%TEMP%\vbc6.tmp
%TEMP%\vbcc.tmp
%TEMP%\hgftg3gg.cmdline
%TEMP%\resd.tmp
<Имя диска съемного носителя>:\winmine_backup.exe
%TEMP%\vqfkge.resources
%TEMP%\qcqxm.resources
%TEMP%\hgftg3gg.out
%TEMP%\hgftg3gg.0.vb
%TEMP%\vbc9.tmp
%TEMP%\svur3jy-.cmdline
%TEMP%\resa.tmp
<Имя диска съемного носителя>:\utorrent_backup.exe
%TEMP%\lolt.resources
%TEMP%\hfnjxmec.resources
%TEMP%\svur3jy-.out
%TEMP%\svur3jy-.0.vb
%TEMP%\ijooob.resources
<Имя диска съемного носителя>:\skypesetup_backup.exe

Подменяет следующие исполняемые файлы

<Имя диска съемного носителя>:\utorrent.exe
<Имя диска съемного носителя>:\winmine.exe
<Имя диска съемного носителя>:\wrar520.exe
<Имя диска съемного носителя>:\tcm851ax32.exe
<Имя диска съемного носителя>:\notepad.exe
<Имя диска съемного носителя>:\calc.exe
<Имя диска съемного носителя>:\skypesetup.exe

Подменяет следующие файлы

%TEMP%\windowsupdate.ico
<Имя диска съемного носителя>:\utorrent_backup.exe
<Имя диска съемного носителя>:\winmine_backup.exe
<Имя диска съемного носителя>:\wrar520_backup.exe
<Имя диска съемного носителя>:\tcm851ax32_backup.exe
<Имя диска съемного носителя>:\notepad_backup.exe
<Имя диска съемного носителя>:\calc_backup.exe
<Имя диска съемного носителя>:\skypesetup_backup.exe

Сетевая активность

Подключается к

'17#.#3.169.14':80

Другое

Создает и запускает на исполнение

'%TEMP%\update.exe'
'%TEMP%\svchost.exe'
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16.tmp" "%TEMP%\vbc15.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\amogiqyn.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13.tmp" "%TEMP%\vbc12.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\joo0reun.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vfdcyiik.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hyn4os_o.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hgftg3gg.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\svur3jy-.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0vhpyfal.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\h1atpkzt.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3nexaxnp.cmdline"' (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19.tmp" "%TEMP%\vbc18.tmp"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\h1atpkzt.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES16.tmp" "%TEMP%\vbc15.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\amogiqyn.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13.tmp" "%TEMP%\vbc12.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\joo0reun.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES10.tmp" "%TEMP%\vbcF.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vfdcyiik.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\vbcC.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hyn4os_o.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\vbc9.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hgftg3gg.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7.tmp" "%TEMP%\vbc6.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\svur3jy-.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\0vhpyfal.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
'%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3nexaxnp.cmdline"
'%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19.tmp" "%TEMP%\vbc18.tmp"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней