Trojan.DownLoader33.2079

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\exefile\shell\open\command] '' = '%WINDIR%\svchost.com "%1" %*'
[<HKCU>\software\microsoft\windows\currentversion\run] 'scripts' = 'wscript.exe //B "%APPDATA%\scripts.js"'
[<HKLM>\software\Wow6432Node\microsoft\windows\currentversion\run] 'scripts' = 'wscript.exe //B "%APPDATA%\scripts.js"'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\windows defender.vbs
%APPDATA%\microsoft\windows\start menu\programs\startup\scripts.js

Заражает следующие исполняемые файлы

C:\far2\far.exe
%ProgramFiles(x86)%\Mozilla Thunderbird\maintenanceservice_installer.exe
%ProgramFiles(x86)%\Mozilla Thunderbird\maintenanceservice.exe
%ProgramFiles(x86)%\Mozilla Thunderbird\crashreporter.exe
%ProgramFiles(x86)%\Mozilla Firefox\wow_helper.exe
%ProgramFiles(x86)%\Mozilla Firefox\webapprt-stub.exe
%ProgramFiles(x86)%\Mozilla Firefox\webapp-uninstaller.exe
%ProgramFiles(x86)%\Mozilla Firefox\updater.exe
%ProgramFiles(x86)%\Mozilla Firefox\uninstall\helper.exe
%ProgramFiles(x86)%\Mozilla Firefox\plugin-hang-ui.exe
%ProgramFiles(x86)%\Mozilla Firefox\plugin-container.exe
%ProgramFiles(x86)%\Mozilla Firefox\maintenanceservice_installer.exe
%ProgramFiles(x86)%\Mozilla Firefox\maintenanceservice.exe
%ProgramFiles(x86)%\Mozilla Firefox\crashreporter.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\disco.exe
%ProgramFiles(x86)%\mIRC\uninstall.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\GuiDebug\DbgCLR.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\xsd.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\wsdl.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\WinRes.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\WinCV.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\sn.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\setreg.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\PEVerify.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\PermView.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\nmake.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\mscordmp.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\Jbimp.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\ildasm.exe
%ProgramFiles(x86)%\mIRC\mirc.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\gacutil.exe
%ProgramFiles(x86)%\Mozilla Thunderbird\thunderbird.exe
%ProgramFiles(x86)%\Steam\bin\x64launcher.exe
%ProgramFiles(x86)%\Steam\uninstall.exe
%ProgramFiles(x86)%\Steam\steamerrorreporter64.exe
%ProgramFiles(x86)%\Steam\streaming_client.exe
%ProgramFiles(x86)%\Steam\steamerrorreporter.exe
%ProgramFiles(x86)%\Steam\Steam.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_6520.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_17340.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_6510.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_17330.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_17300.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_10560.exe
%ProgramFiles(x86)%\Steam\steam\games\appid_10540.exe
%ProgramFiles(x86)%\Steam\GameOverlayUI.exe
%ProgramFiles(x86)%\Mozilla Thunderbird\updater.exe
%ProgramFiles(x86)%\Mozilla Thunderbird\uninstall\helper.exe
%ProgramFiles(x86)%\Steam\bin\wow_helper.exe
%ProgramFiles(x86)%\Steam\bin\steamwebhelper.exe
%ProgramFiles(x86)%\Steam\bin\steamservice.exe
%ProgramFiles(x86)%\Steam\bin\html5app_steam.exe
%ProgramFiles(x86)%\QIP 2012\unins000.exe
%ProgramFiles(x86)%\QIP 2012\qip.exe
%ProgramFiles(x86)%\Pidgin\pidgin.exe
%ProgramFiles(x86)%\Pidgin\pidgin-uninst.exe
%ProgramFiles(x86)%\Opera\launcher.exe
%ProgramFiles(x86)%\Opera\29.0.1795.47\wow_helper.exe
%ProgramFiles(x86)%\Opera\29.0.1795.47\opera_crashreporter.exe
%ProgramFiles(x86)%\Opera\29.0.1795.47\opera_autoupdate.exe
%ProgramFiles(x86)%\Opera\29.0.1795.47\installer.exe
%ProgramFiles(x86)%\Steam\bin\x86launcher.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\cordbg.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\certmgr.exe
%ProgramFiles(x86)%\Microsoft.NET\SDK\v1.1\Bin\AxImp.exe
%CommonProgramFiles(x86)%\microsoft shared\VSTO\10.0\VSTOInstaller.exe
%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\vs7jit.exe
%CommonProgramFiles(x86)%\microsoft shared\TextConv\WksConv\Wkconv.exe
%CommonProgramFiles(x86)%\microsoft shared\Help\dexplore.exe
%CommonProgramFiles(x86)%\Java\Java Update\jusched.exe
%CommonProgramFiles(x86)%\Java\Java Update\jucheck.exe
%CommonProgramFiles(x86)%\Java\Java Update\jaureg.exe
%CommonProgramFiles(x86)%\Adobe\ARM\1.0\armsvc.exe
%CommonProgramFiles(x86)%\Adobe\ARM\1.0\AdobeARMHelper.exe
%CommonProgramFiles(x86)%\Adobe\ARM\1.0\AdobeARM.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\wow_helper.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\reader_sl.exe
%CommonProgramFiles(x86)%\PX Storage Engine\pxcpyi64.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\plug_ins\pi_brokers\64BitMAPIBroker.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\Eula.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\arh.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\AdobeCollabSync.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\ADelRCP.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\AcroTextExtractor.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\AcroRd32.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\AcroCEF\RdrServicesUpdater.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\AcroCEF\RdrCEF.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\AcroBroker.exe
C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\dwtrig20.exe
C:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\DW20.EXE
C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\setup.exe
C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\ose.exe
%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Reader\LogTransport2.exe
%CommonProgramFiles(x86)%\PX Storage Engine\pxhpinst.exe
%CommonProgramFiles(x86)%\PX Storage Engine\pxcpya64.exe
%CommonProgramFiles(x86)%\PX Storage Engine\pxinsa64.exe
%ProgramFiles(x86)%\Microsoft Visual Studio .NET 2003\Vc7\bin\link.exe
%ProgramFiles(x86)%\Google\Update\GoogleUpdate.exe
%ProgramFiles(x86)%\Microsoft Visual Studio .NET 2003\Vc7\bin\cl.exe
%ProgramFiles(x86)%\Microsoft Visual Studio .NET 2003\Common7\Packages\Debugger\ManagedDbgCA.exe
%ProgramFiles(x86)%\Microsoft Office\Office14\MSOHTMED.EXE
%ProgramFiles(x86)%\K-Lite Codec Pack\unins000.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Tools\SetACL_x86.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Tools\SetACL_x64.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Tools\mediainfo.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Tools\GraphStudioNext64.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Tools\GraphStudioNext.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Tools\CodecTweakTool.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\MPC-HC64\mpc-hc64.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Filters\Haali\gdsmux.exe
%ProgramFiles(x86)%\K-Lite Codec Pack\Filters\Haali\dsmux.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleUpdateWebPlugin.exe
%CommonProgramFiles(x86)%\PX Storage Engine\pxinsi64.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleUpdateSetup.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleUpdateOnDemand.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleUpdateComRegisterShell64.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleUpdateBroker.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleUpdate.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleCrashHandler64.exe
%ProgramFiles(x86)%\Google\Update\1.3.26.9\GoogleCrashHandler.exe
%ProgramFiles(x86)%\Google\Chrome\Application\chrome.exe
%ProgramFiles(x86)%\Google\Chrome\Application\42.0.2311.135\nacl64.exe
%ProgramFiles(x86)%\Google\Chrome\Application\42.0.2311.135\Installer\setup.exe
%ProgramFiles(x86)%\Google\Chrome\Application\42.0.2311.135\Installer\chrmstp.exe
%ProgramFiles(x86)%\Google\Chrome\Application\42.0.2311.135\delegate_execute.exe
%CommonProgramFiles(x86)%\Steam\SteamService.exe
%ProgramFiles(x86)%\Steam\WriteMiniDump.exe
%ProgramFiles(x86)%\Winamp\Elevator.exe

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\scripts.js
<Имя диска съемного носителя>:\background.lnk
<Имя диска съемного носителя>:\hhhlcert.lnk
<Имя диска съемного носителя>:\tunpersonalca1.lnk
<Имя диска съемного носителя>:\irgeek.lnk
<Имя диска съемного носителя>:\systisoft.lnk
<Имя диска съемного носителя>:\investmentbankca_ca8.lnk
<Имя диска съемного носителя>:\ck.lnk
<Имя диска съемного носителя>:\asm.lnk
<Имя диска съемного носителя>:\cbz.lnk
<Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.lnk
<Имя диска съемного носителя>:\fil_20060629111052.lnk
<Имя диска съемного носителя>:\spib_pima.lnk
<Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.lnk
<Имя диска съемного носителя>:\video_1.lnk
<Имя диска съемного носителя>:\51.lnk
<Имя диска съемного носителя>:\d0068197bb5a41fea16a220c45390606.lnk
<Имя диска съемного носителя>:\lom602.lnk
<Имя диска съемного носителя>:\64bit_notes.lnk
<Имя диска съемного носителя>:\bg_search_box.lnk
<Имя диска съемного носителя>:\contenttypes.lnk
<Имя диска съемного носителя>:\digest.lnk
<Имя диска съемного носителя>:\swc_2009-03-02.lnk
<Имя диска съемного носителя>:\taxus_baccata.lnk
<Имя диска съемного носителя>:\sioc.lnk
<Имя диска съемного носителя>:\asaprojectcompetition.lnk
<Имя диска съемного носителя>:\roozenedowebinar.lnk
<Имя диска съемного носителя>:\middaugh_keynote.lnk
<Имя диска съемного носителя>:\waterresourcesag.lnk
<Имя диска съемного носителя>:\indogerman2010.lnk
<Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.lnk
<Имя диска съемного носителя>:\hypothyroidism_slides.lnk
<Имя диска съемного носителя>:\file1.lnk
<Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.lnk
<Имя диска съемного носителя>:\accountsreceivable.lnk
<Имя диска съемного носителя>:\ppswamp.lnk
<Имя диска съемного носителя>:\sim_gametheory_to_finance.lnk
<Имя диска съемного носителя>:\video.lnk
<Имя диска съемного носителя>:\7790_preview.lnk
<Имя диска съемного носителя>:\firefly1.lnk
<Имя диска съемного носителя>:\dag2_panel1_320_ref.lnk
<Имя диска съемного носителя>:\spanner.lnk
<Имя диска съемного носителя>:\sdksampleprivdeveloper.lnk
<Имя диска съемного носителя>:\file_p_00000000_1371597592.lnk
<Имя диска съемного носителя>:\holycrosschurchinstructions.lnk
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.lnk
<Имя диска съемного носителя>:\issi2013_template_for_posters.lnk
<Имя диска съемного носителя>:\applicantform_en.lnk
<Имя диска съемного носителя>:\cveuropeo.lnk
<Имя диска съемного носителя>:\fi51.lnk
<Имя диска съемного носителя>:\pmd.lnk
<Имя диска съемного носителя>:\dotnetfx45_full_setup.lnk
<Имя диска съемного носителя>:\contosoroot_1.lnk
<Имя диска съемного носителя>:\coffee.lnk
<Имя диска съемного носителя>:\dashborder_120.lnk
<Имя диска съемного носителя>:\toolbar.lnk
<Имя диска съемного носителя>:\dashborder_192.lnk
<Имя диска съемного носителя>:\default.lnk
<Имя диска съемного носителя>:\archer.lnk
<Имя диска съемного носителя>:\military_callsigns_0311.lnk
<Имя диска съемного носителя>:\metac.lnk
<Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.lnk
<Имя диска съемного носителя>:\tree_view.lnk
<Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.lnk
<Имя диска съемного носителя>:\scan.lnk
<Имя диска съемного носителя>:\etc6_m_1.lnk
<Имя диска съемного носителя>:\210252809.lnk
<Имя диска съемного носителя>:\2.lnk
<Имя диска съемного носителя>:\parnas_01.lnk
<Имя диска съемного носителя>:\13.lnk
<Имя диска съемного носителя>:\168.lnk
<Имя диска съемного носителя>:\1189.lnk
<Имя диска съемного носителя>:\region-north-karelia.lnk
<Имя диска съемного носителя>:\pushkin.lnk
<Имя диска съемного носителя>:\ituneshelpunavailable.lnk
<Имя диска съемного носителя>:\browse.lnk
<Имя диска съемного носителя>:\howto-index.lnk
<Имя диска съемного носителя>:\alert.lnk
<Имя диска съемного носителя>:\api-hashmap.lnk
<Имя диска съемного носителя>:\about.lnk
<Имя диска съемного носителя>:\iisstart.lnk
<Имя диска съемного носителя>:\fungalnameauthors.lnk

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsha376.tmp
%APPDATA%\list.vbe
%APPDATA%\ndch.vbe
%APPDATA%\reverse.vbe
%APPDATA%\snp.vbs
%APPDATA%\scripts.js
%APPDATA%\[2020] amazon gift card code generator + checker [cracked] [hq] [very fast].exe
%TEMP%\3582-490\[2020] amazon gift card code generator + checker [cracked] [hq] [very fast].exe
%WINDIR%\svchost.com
%WINDIR%\directx.sys

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\scripts.js

Удаляет следующие файлы

%WINDIR%\svchost.com

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\list.vbe"
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\ndch.vbe"
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\reverse.vbe"
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Snp.vbs"
'%WINDIR%\syswow64\wscript.exe' "%APPDATA%\scripts.js"
'%APPDATA%\[2020] amazon gift card code generator + checker [cracked] [hq] [very fast].exe'
'%TEMP%\3582-490\[2020] amazon gift card code generator + checker [cracked] [hq] [very fast].exe'
'%WINDIR%\svchost.com' "<SYSTEM32>\WINDOW~1\v1.0\powershell.exe" -noexit -en WwBBAHAAcABEAG8AbQBhAGkAbgBdADoAOgAoACcAPwB1AHIAcgBlAG4AdABAAG8AbQBhAGkAbgAnAC4AcgBlAHAAbABhAGMAZQAoACcAPwAnACwAJwBDACcAKQAuAHIAZQBwAGwAYQB...
'%WINDIR%\svchost.com' "<SYSTEM32>\WINDOW~1\v1.0\powershell.exe" -noexit -en WwBBAHAAcABEAG8AbQBhAGkAbgBdADoAOgAoACcAPwB1AHIAcgBlAG4AdABAAG8AbQBhAGkAbgAnAC4AcgBlAHAAbABhAGMAZQAoACcAPwAnACwAJwBDACcAKQAuAHIAZQBwAGwAYQB...' (со скрытым окном)

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней