Trojan.DownLoader30.34708

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\aut50f2.tmp
%APPDATA%\ud~win_7\openfolder.itmp
%TEMP%\aut69ee.tmp
%APPDATA%\ud~win_7\browse-1.itmp
%TEMP%\aut69be.tmp
%APPDATA%\ud~win_7\btn-9-1.itmp
%TEMP%\aut698e.tmp
%APPDATA%\ud~win_7\btn-diy1.itmp
%APPDATA%\ud~win_7\btn-fud1.itmp
%APPDATA%\ud~win_7\makeud-1.itmp
%TEMP%\aut692e.tmp
%APPDATA%\ud~win_7\btn-upd1.itmp
%TEMP%\aut68fe.tmp
%APPDATA%\ud~win_7\btn-oku1.itmp
%TEMP%\aut68de.tmp
%APPDATA%\ud~win_7\mode-3-1.itmp
%TEMP%\aut695e.tmp
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%TEMP%\aut6a3e.tmp
%APPDATA%\ud~win_7\tool.itmp
%TEMP%\aut70fd.tmp
%APPDATA%\ud~win_7\soft.itmp
%TEMP%\aut706f.tmp
%APPDATA%\ud~win_7\iso-bg.itmp
%TEMP%\aut7010.tmp
%APPDATA%\ud~win_7\dndud.itmp
%TEMP%\aut68ae.tmp
%TEMP%\aut6a1e.tmp
%TEMP%\aut6c07.tmp
%APPDATA%\ud~win_7\custom-1.itmp
%TEMP%\aut6bc8.tmp
%TEMP%\progress.tmp
%TEMP%\aut6aec.tmp
%APPDATA%\ud~win_7\modebg.itmp
%TEMP%\aut6a7d.tmp
%APPDATA%\ud~win_7\makeiso-1.itmp
%APPDATA%\ud~win_7\burncd-1.itmp
%APPDATA%\ud~win_7\mode-2-1.itmp
%TEMP%\aut687e.tmp
%APPDATA%\ud~win_7\mode-1-2.itmp
%APPDATA%\ud~win_7\btn-close11.itmp
%TEMP%\aut60e7.tmp
%APPDATA%\ud~win_7\btn-iso1.itmp
%TEMP%\aut60c7.tmp
%APPDATA%\ud~win_7\btn-usb2.itmp
%TEMP%\aut6097.tmp
%APPDATA%\ud~win_7\btn-min11.itmp
%TEMP%\aut711d.tmp
%TEMP%\aut6136.tmp
%TEMP%\aut6018.tmp
%TEMP%\cmdtool.tmp
%TEMP%\aut51af.tmp
%WINDIR%\bcdedit.dll
%TEMP%\aut5160.tmp
%TEMP%\runlog.log
%TEMP%\lqapdnr
%TEMP%\aut6067.tmp
%TEMP%\aut6fb2.tmp
%APPDATA%\ud~win_7\btn-usoft1.itmp
%TEMP%\aut6177.tmp
%TEMP%\aut6156.tmp
%TEMP%\aut683f.tmp
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n9tspp31\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\q1t0e1fq\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\p11fpbfh\desktop.ini
%APPDATA%\ud~win_7\btn-help1.itmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0gayqcl1\desktop.ini
%APPDATA%\ud~win_7\btn-soft1.itmp
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%APPDATA%\ud~win_7\mainbg.itmp
%TEMP%\aut63aa.tmp
%APPDATA%\ud~win_7\btn-forum1.itmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%APPDATA%\ud~win_7\fbinst.dll

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0gayqcl1\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\p11fpbfh\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\q1t0e1fq\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n9tspp31\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini

Удаляет следующие файлы

%TEMP%\aut50f2.tmp
%APPDATA%\ud~win_7\btn-diy1.itmp
%APPDATA%\ud~win_7\btn-forum1.itmp
%APPDATA%\ud~win_7\btn-fud1.itmp
%APPDATA%\ud~win_7\btn-help1.itmp
%APPDATA%\ud~win_7\btn-iso1.itmp
%APPDATA%\ud~win_7\btn-min11.itmp
%APPDATA%\ud~win_7\btn-oku1.itmp
%APPDATA%\ud~win_7\btn-soft1.itmp
%APPDATA%\ud~win_7\btn-upd1.itmp
%APPDATA%\ud~win_7\btn-usb2.itmp
%APPDATA%\ud~win_7\btn-usoft1.itmp
%APPDATA%\ud~win_7\burncd-1.itmp
%APPDATA%\ud~win_7\custom-1.itmp
%APPDATA%\ud~win_7\makeiso-1.itmp
%APPDATA%\ud~win_7\tool.itmp
%APPDATA%\ud~win_7\makeud-1.itmp
%APPDATA%\ud~win_7\mode-1-2.itmp
%APPDATA%\ud~win_7\mode-2-1.itmp
%APPDATA%\ud~win_7\mode-3-1.itmp
%APPDATA%\ud~win_7\modebg.itmp
%APPDATA%\ud~win_7\openfolder.itmp
%TEMP%\aut6fb2.tmp
%TEMP%\aut7010.tmp
%TEMP%\aut706f.tmp
%TEMP%\aut70fd.tmp
%APPDATA%\ud~win_7\dndud.itmp
%APPDATA%\ud~win_7\iso-bg.itmp
%APPDATA%\ud~win_7\soft.itmp
%APPDATA%\ud~win_7\btn-close11.itmp
%APPDATA%\ud~win_7\mainbg.itmp
%APPDATA%\ud~win_7\btn-9-1.itmp
%TEMP%\aut683f.tmp
%TEMP%\lqapdnr
%TEMP%\aut5160.tmp
%TEMP%\aut51af.tmp
%TEMP%\cmdtool.tmp
%TEMP%\aut6018.tmp
%TEMP%\aut6067.tmp
%TEMP%\aut6097.tmp
%TEMP%\aut60c7.tmp
%TEMP%\aut60e7.tmp
%TEMP%\aut6136.tmp
%TEMP%\aut6156.tmp
%TEMP%\aut6177.tmp
%TEMP%\aut63aa.tmp
%TEMP%\aut687e.tmp
%TEMP%\aut6c07.tmp
%TEMP%\aut68ae.tmp
%TEMP%\aut68de.tmp
%TEMP%\aut68fe.tmp
%TEMP%\aut692e.tmp
%TEMP%\aut695e.tmp
%TEMP%\aut698e.tmp
%TEMP%\aut69be.tmp
%TEMP%\aut69ee.tmp
%TEMP%\aut6a1e.tmp
%TEMP%\aut6a3e.tmp
%TEMP%\aut6a7d.tmp
%TEMP%\aut6aec.tmp
%TEMP%\aut6bc8.tmp
%APPDATA%\ud~win_7\browse-1.itmp
%TEMP%\aut711d.tmp

Сетевая активность

TCP

Запросы HTTP GET

http://jc.###nnaodian.com/DNDUpdate.txt

UDP

DNS ASK jc.###nnaodian.com
DNS ASK uw###.#iannaodian.com

Другое

Создает и запускает на исполнение

'%TEMP%\cmdtool.tmp' SHOW =1
'%APPDATA%\ud~win_7\fbinst.dll' F: info
'%WINDIR%\syswow64\cmd.exe' /c CMDtool.tmp SHOW =1 & 0:1' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c fbinst.dll F: info' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c CMDtool.tmp SHOW =1 & 0:1
'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%WINDIR%\syswow64\cmd.exe' /c fbinst.dll F: info