Trojan.DownLoader7.7587

Добавлен в вирусную базу Dr.Web: 2012-10-16

Описание добавлено: 2012-10-18

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\ewxraklj.exe
<SYSTEM32>\wtdwgyef.exe
<SYSTEM32>\zbweyqof.exe
<SYSTEM32>\lcfxjebd.exe
<SYSTEM32>\tfgsgvyc.exe
<SYSTEM32>\uiudwkqk.exe
<SYSTEM32>\hrevyqpg.exe
<SYSTEM32>\uvhrrmyx.exe
<SYSTEM32>\xhduspen.exe
<SYSTEM32>\kdisbxfh.exe
<SYSTEM32>\dpfyfpli.exe
<SYSTEM32>\bhoynfzk.exe
<SYSTEM32>\vsvfpdpp.exe
<SYSTEM32>\symkazwx.exe
<SYSTEM32>\lkjxlklo.exe
<SYSTEM32>\mblerfmr.exe
<SYSTEM32>\arfieezo.exe
<SYSTEM32>\qwlxqelj.exe
<SYSTEM32>\dhegwjng.exe
<SYSTEM32>\fwykykue.exe
<SYSTEM32>\npgqyxlf.exe
<SYSTEM32>\tgwupcrd.exe
<SYSTEM32>\mzztodfs.exe
<SYSTEM32>\bwciyaed.exe
<SYSTEM32>\sdymgvno.exe
<SYSTEM32>\ybqsgrks.exe
<SYSTEM32>\nhqttlhb.exe
<SYSTEM32>\dobudede.exe
<SYSTEM32>\kxpyxlqi.exe
<SYSTEM32>\ctfbtnrh.exe
<SYSTEM32>\qbgmyrcx.exe
<SYSTEM32>\vzbomrld.exe
<SYSTEM32>\cuijwpbu.exe
<SYSTEM32>\lrnjxkit.exe
<SYSTEM32>\afjocfmu.exe
<SYSTEM32>\atsidzha.exe
<SYSTEM32>\tawgduam.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\xhduspen.exe
<SYSTEM32>\uiudwkqk.exe
<SYSTEM32>\uvhrrmyx.exe
<SYSTEM32>\wtdwgyef.exe
<SYSTEM32>\tfgsgvyc.exe
<SYSTEM32>\hrevyqpg.exe
<SYSTEM32>\kxpyxlqi.exe
<SYSTEM32>\ctfbtnrh.exe
<SYSTEM32>\vzbomrld.exe
<SYSTEM32>\dhegwjng.exe
<SYSTEM32>\qbgmyrcx.exe
<SYSTEM32>\ewxraklj.exe
<SYSTEM32>\dpfyfpli.exe
<SYSTEM32>\symkazwx.exe
<SYSTEM32>\kdisbxfh.exe
<SYSTEM32>\bhoynfzk.exe
<SYSTEM32>\vsvfpdpp.exe
<SYSTEM32>\arfieezo.exe
<SYSTEM32>\zbweyqof.exe
<SYSTEM32>\lcfxjebd.exe
<SYSTEM32>\mblerfmr.exe
<SYSTEM32>\qwlxqelj.exe
<SYSTEM32>\lkjxlklo.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bXN3aW5zY2sub2N4[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cfile7.uf@197407484F516F1829F7A5[1].ocx
<SYSTEM32>\sdymgvno.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bXN3aW5zY2sub2N4[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile7.uf@197407484F516F1829F7A5[1].ocx
<SYSTEM32>\ybqsgrks.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bXN3aW5zY2sub2N4[1].ocx
<SYSTEM32>\MSWINSCK.ocx
<SYSTEM32>\uolsn.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cfile7.uf@197407484F516F1829F7A5[1].ocx
<SYSTEM32>\dobudede.exe
<SYSTEM32>\lrnjxkit.exe
<SYSTEM32>\afjocfmu.exe
<SYSTEM32>\tawgduam.exe
<SYSTEM32>\cuijwpbu.exe
<SYSTEM32>\atsidzha.exe
<SYSTEM32>\tgwupcrd.exe
<SYSTEM32>\bwciyaed.exe
<SYSTEM32>\nhqttlhb.exe
<SYSTEM32>\npgqyxlf.exe
<SYSTEM32>\mzztodfs.exe
<SYSTEM32>\fwykykue.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\ewxraklj.exe
<SYSTEM32>\wtdwgyef.exe
<SYSTEM32>\zbweyqof.exe
<SYSTEM32>\lcfxjebd.exe
<SYSTEM32>\tfgsgvyc.exe
<SYSTEM32>\uiudwkqk.exe
<SYSTEM32>\hrevyqpg.exe
<SYSTEM32>\uvhrrmyx.exe
<SYSTEM32>\xhduspen.exe
<SYSTEM32>\kdisbxfh.exe
<SYSTEM32>\dpfyfpli.exe
<SYSTEM32>\bhoynfzk.exe
<SYSTEM32>\vsvfpdpp.exe
<SYSTEM32>\symkazwx.exe
<SYSTEM32>\lkjxlklo.exe
<SYSTEM32>\mblerfmr.exe
<SYSTEM32>\arfieezo.exe
<SYSTEM32>\qwlxqelj.exe
<SYSTEM32>\dhegwjng.exe
<SYSTEM32>\fwykykue.exe
<SYSTEM32>\npgqyxlf.exe
<SYSTEM32>\tgwupcrd.exe
<SYSTEM32>\mzztodfs.exe
<SYSTEM32>\bwciyaed.exe
<SYSTEM32>\sdymgvno.exe
<SYSTEM32>\ybqsgrks.exe
<SYSTEM32>\nhqttlhb.exe
<SYSTEM32>\dobudede.exe
<SYSTEM32>\kxpyxlqi.exe
<SYSTEM32>\ctfbtnrh.exe
<SYSTEM32>\qbgmyrcx.exe
<SYSTEM32>\vzbomrld.exe
<SYSTEM32>\cuijwpbu.exe
<SYSTEM32>\lrnjxkit.exe
<SYSTEM32>\afjocfmu.exe
<SYSTEM32>\atsidzha.exe
<SYSTEM32>\tawgduam.exe

Удаляет следующие файлы:

%TEMP%\~DFEBF6.tmp
%TEMP%\~DF6FF.tmp
%TEMP%\~DF6B42.tmp
%TEMP%\~DF85DD.tmp
%TEMP%\~DF628B.tmp
%TEMP%\~DFFECB.tmp
%TEMP%\~DF5A2A.tmp
%TEMP%\~DF7DD2.tmp
%TEMP%\~DFE365.tmp
%TEMP%\~DFF43.tmp
%TEMP%\~DF7CF8.tmp
%TEMP%\~DF967A.tmp
%TEMP%\~DF715.tmp
%TEMP%\~DF2088.tmp
%TEMP%\~DFFD6B.tmp
%TEMP%\~DF8E67.tmp
%TEMP%\~DFF53A.tmp
%TEMP%\~DF184F.tmp
%TEMP%\~DF7357.tmp
%TEMP%\~DF7570.tmp
%TEMP%\~DFF17C.tmp
%TEMP%\~DFE6D.tmp
%TEMP%\~DF7004.tmp
%TEMP%\~DF8C15.tmp
%TEMP%\~DF68B8.tmp
%TEMP%\~DF7B0.tmp
%TEMP%\~DF61D3.tmp
%TEMP%\~DF859A.tmp
%TEMP%\~DFEA6F.tmp
%TEMP%\~DF156E.tmp
%TEMP%\~DF51D0.tmp
%TEMP%\~DF9ABD.tmp
%TEMP%\~DFDB0E.tmp
%TEMP%\~DF1EB6.tmp
%TEMP%\~DFFAA2.tmp
%TEMP%\~DF9332.tmp
%TEMP%\~DFF8D1.tmp
%TEMP%\~DF1C81.tmp
%TEMP%\~DF7718.tmp
%TEMP%\~DF5F4C.tmp
%TEMP%\~DFBCAF.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile7.uf@197407484F516F1829F7A5[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bXN3aW5zY2sub2N4[1].ocx
%TEMP%\~DFD478.tmp
%TEMP%\~DFB13C.tmp
%TEMP%\~DFC91A.tmp
%TEMP%\~DF3C46.tmp
%TEMP%\~DF5422.tmp
%TEMP%\~DF4745.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cfile7.uf@197407484F516F1829F7A5[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bXN3aW5zY2sub2N4[1].ocx
%TEMP%\~DFDE09.tmp
%TEMP%\~DF22CE.tmp
%TEMP%\~DF6AE5.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bXN3aW5zY2sub2N4[1].ocx
%TEMP%\~DFDFE5.tmp
%TEMP%\~DFBA9A.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cfile7.uf@197407484F516F1829F7A5[1].ocx
%TEMP%\~DF30D4.tmp
%TEMP%\~DF344A.tmp
%TEMP%\~DF90F9.tmp
%TEMP%\~DFB41B.tmp
%TEMP%\~DF1B80.tmp
%TEMP%\~DFA9F0.tmp
%TEMP%\~DF86A9.tmp
%TEMP%\~DFA046.tmp
%TEMP%\~DF1117.tmp
%TEMP%\~DF29EF.tmp
%TEMP%\~DF9B41.tmp
%TEMP%\~DFBE5D.tmp
%TEMP%\~DF25ED.tmp
%TEMP%\~DF490B.tmp
%TEMP%\~DFA60A.tmp
%TEMP%\~DF9B3C.tmp
%TEMP%\~DF1AF8.tmp
%TEMP%\~DF3E5E.tmp
%TEMP%\~DF3E46.tmp
%TEMP%\~DFBEC2.tmp

Сетевая активность:

Подключается к:

'localhost':1130
'localhost':1126
'localhost':1134
'localhost':1142
'localhost':1138
'localhost':1110
'localhost':1106
'localhost':1114
'localhost':1122
'localhost':1118
'localhost':1170
'localhost':1166
'localhost':1174
'localhost':1182
'localhost':1178
'localhost':1150
'localhost':1146
'localhost':1154
'localhost':1162
'localhost':1158
'localhost':1050
'localhost':1046
'localhost':1054
'localhost':1062
'localhost':1058
'ei####.dothome.co.kr':80
'localhost':1036
'wi######date.tistory.com':80
'localhost':1042
'dd##.##yalbattle.net':90
'localhost':1090
'localhost':1086
'localhost':1094
'localhost':1102
'localhost':1098
'localhost':1070
'localhost':1066
'localhost':1074
'localhost':1082
'localhost':1078

TCP:

Запросы HTTP GET:

wi######date.tistory.com/attachment/cfile7.uf@197407484F516F1829F7A5.ocx
ei####.dothome.co.kr/bXN3aW5zY2sub2N4.ocx

UDP:

DNS ASK dd##.##yalbattle.net
DNS ASK wi######date.tistory.com
DNS ASK ei####.dothome.co.kr

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней