Trojan.DownLoader30.33535

Вредоносные функции

Запускает на исполнение

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: 'OLLYDBG', WindowName: ''
ClassName: 'GBDYLLO', WindowName: ''
ClassName: 'pediy06', WindowName: ''
ClassName: 'FilemonClass', WindowName: ''
ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass', WindowName: ''
ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'

Изменения в файловой системе

Создает следующие файлы

C:\pvlol\skype.exe
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\bullet[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\info_48[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\background_gradient[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\bullet[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\info_48[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\background_gradient[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\navcancl[2]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\navcancl[1]
C:\pvlol\pvlol.dll
%HOMEPATH%\desktop\pvlol.lnk
C:\pvlol\ret.dat
C:\pvlol\list.pv

Удаляет следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\navcancl[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\errorpagetemplate[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\errorpagestrings[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\httperrorpagesscripts[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\background_gradient[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\info_48[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\bullet[1]
C:\pvlol\ret.dat

Подменяет следующие файлы

%LOCALAPPDATA%\Microsoft\Windows\<INETFILES>\Content.IE5\CAASBYCL\errorPageStrings[1]

Сетевая активность

TCP

Запросы HTTP GET

http://pu##.#ackrules.com/PVLOL/AUTH/ver.php?OT######
http://wh##.amung.us/swidget/pvlolvip.png
http://wi####s.amung.us/small/00/18.png
http://se###.pvrules.com/PVLOL/AUTH/cauth.php?2B#################################################################################################################################################...
http://sv.###krules.com/PVLOL/LOADER//list.dat
http://sv.###krules.com/PVLOL/LOADER//msgbox.html

'go#####agmanager.com':443

UDP