Trojan.DownLoader7.24641

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\fhevoamt.exe
<SYSTEM32>\txxgxfoy.exe
<SYSTEM32>\gkuyxdam.exe
<SYSTEM32>\gjocaojb.exe
<SYSTEM32>\aszutmqm.exe
<SYSTEM32>\oionjmbs.exe
<SYSTEM32>\zwwlobyj.exe
<SYSTEM32>\iuwvifkr.exe
<SYSTEM32>\awmmdaha.exe
<SYSTEM32>\qsicsnja.exe
<SYSTEM32>\paagisyh.exe
<SYSTEM32>\hfkzgvrs.exe
<SYSTEM32>\yhsdaaag.exe
<SYSTEM32>\cqjkoqyo.exe
<SYSTEM32>\pcwmvwyw.exe
<SYSTEM32>\jjcmvrkf.exe
<SYSTEM32>\pztgruhb.exe
<SYSTEM32>\fgtdvffy.exe
<SYSTEM32>\hgjneivi.exe
<SYSTEM32>\kkqsgzkn.exe
<SYSTEM32>\aslpvntf.exe
<SYSTEM32>\vdshhitt.exe
<SYSTEM32>\plhjqujx.exe
<SYSTEM32>\foaerfqw.exe
<SYSTEM32>\ttsihnpi.exe
<SYSTEM32>\mtyjkkdr.exe
<SYSTEM32>\hibgcrwi.exe
<SYSTEM32>\jwyzzmxq.exe
<SYSTEM32>\gktfdkqg.exe
<SYSTEM32>\ydpeywoh.exe
<SYSTEM32>\pjwgaxnb.exe
<SYSTEM32>\fbcsuzsp.exe
<SYSTEM32>\pqlydfeg.exe
<SYSTEM32>\mgbybbwf.exe
<SYSTEM32>\fyunuidi.exe
<SYSTEM32>\ecufmjde.exe
<SYSTEM32>\nimtpipw.exe
<SYSTEM32>\tzbowmtw.exe
<SYSTEM32>\dwdoquxb.exe
<SYSTEM32>\btbgxhxz.exe
<SYSTEM32>\krsxhjor.exe
<SYSTEM32>\xgkaxcij.exe
<SYSTEM32>\wlujwwgl.exe
<SYSTEM32>\lnbdqhkg.exe
<SYSTEM32>\vigzxvtb.exe
<SYSTEM32>\rnepupxz.exe
<SYSTEM32>\zbwwixwp.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass' WindowName: ''
ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'GBDYLLO' WindowName: ''
ClassName: 'OLLYDBG' WindowName: ''
ClassName: 'FilemonClass' WindowName: ''
ClassName: 'pediy06' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\aszutmqm.exe
<SYSTEM32>\gkuyxdam.exe
<SYSTEM32>\fhevoamt.exe
<SYSTEM32>\kkqsgzkn.exe
<SYSTEM32>\hfkzgvrs.exe
<SYSTEM32>\gjocaojb.exe
<SYSTEM32>\txxgxfoy.exe
<SYSTEM32>\awmmdaha.exe
<SYSTEM32>\zwwlobyj.exe
<SYSTEM32>\iuwvifkr.exe
<SYSTEM32>\oionjmbs.exe
<SYSTEM32>\qsicsnja.exe
<SYSTEM32>\paagisyh.exe
<SYSTEM32>\pcwmvwyw.exe
<SYSTEM32>\yhsdaaag.exe
<SYSTEM32>\cqjkoqyo.exe
<SYSTEM32>\ixxmpwfq.exe
<SYSTEM32>\jjcmvrkf.exe
<SYSTEM32>\pztgruhb.exe
<SYSTEM32>\fgtdvffy.exe
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
<SYSTEM32>\aslpvntf.exe
<SYSTEM32>\hgjneivi.exe
<SYSTEM32>\vdshhitt.exe
<SYSTEM32>\plhjqujx.exe
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\_filelst.cfg
<SYSTEM32>\foaerfqw.exe
<SYSTEM32>\mtyjkkdr.exe
<SYSTEM32>\ydpeywoh.exe
<SYSTEM32>\mgbybbwf.exe
<SYSTEM32>\gktfdkqg.exe
<SYSTEM32>\hibgcrwi.exe
<SYSTEM32>\ttsihnpi.exe
<SYSTEM32>\fyunuidi.exe
<SYSTEM32>\MSWINSCK.ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\TVNXSU5TQ0s[1].ocx
<SYSTEM32>\pqlydfeg.exe
<SYSTEM32>\pjwgaxnb.exe
<SYSTEM32>\fbcsuzsp.exe
<SYSTEM32>\nimtpipw.exe
<SYSTEM32>\tzbowmtw.exe
<SYSTEM32>\xgkaxcij.exe
<SYSTEM32>\btbgxhxz.exe
<SYSTEM32>\krsxhjor.exe
<SYSTEM32>\dwdoquxb.exe
<SYSTEM32>\rnepupxz.exe
<SYSTEM32>\lnbdqhkg.exe
<SYSTEM32>\ecufmjde.exe
<SYSTEM32>\jwyzzmxq.exe
<SYSTEM32>\zbwwixwp.exe
<SYSTEM32>\vigzxvtb.exe
<SYSTEM32>\wlujwwgl.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\gkuyxdam.exe
<SYSTEM32>\fhevoamt.exe
<SYSTEM32>\txxgxfoy.exe
<SYSTEM32>\hfkzgvrs.exe
<SYSTEM32>\gjocaojb.exe
<SYSTEM32>\aszutmqm.exe
<SYSTEM32>\awmmdaha.exe
<SYSTEM32>\zwwlobyj.exe
<SYSTEM32>\iuwvifkr.exe
<SYSTEM32>\oionjmbs.exe
<SYSTEM32>\qsicsnja.exe
<SYSTEM32>\paagisyh.exe
<SYSTEM32>\pcwmvwyw.exe
<SYSTEM32>\yhsdaaag.exe
<SYSTEM32>\cqjkoqyo.exe
<SYSTEM32>\ixxmpwfq.exe
<SYSTEM32>\jjcmvrkf.exe
<SYSTEM32>\pztgruhb.exe
<SYSTEM32>\aslpvntf.exe
<SYSTEM32>\hgjneivi.exe
<SYSTEM32>\kkqsgzkn.exe
<SYSTEM32>\fgtdvffy.exe
<SYSTEM32>\vdshhitt.exe
<SYSTEM32>\plhjqujx.exe
<SYSTEM32>\hibgcrwi.exe
<SYSTEM32>\ttsihnpi.exe
<SYSTEM32>\mtyjkkdr.exe
<SYSTEM32>\ecufmjde.exe
<SYSTEM32>\jwyzzmxq.exe
<SYSTEM32>\gktfdkqg.exe
<SYSTEM32>\pqlydfeg.exe
<SYSTEM32>\pjwgaxnb.exe
<SYSTEM32>\fbcsuzsp.exe
<SYSTEM32>\ydpeywoh.exe
<SYSTEM32>\mgbybbwf.exe
<SYSTEM32>\fyunuidi.exe
<SYSTEM32>\dwdoquxb.exe
<SYSTEM32>\nimtpipw.exe
<SYSTEM32>\tzbowmtw.exe
<SYSTEM32>\foaerfqw.exe
<SYSTEM32>\btbgxhxz.exe
<SYSTEM32>\krsxhjor.exe
<SYSTEM32>\vigzxvtb.exe
<SYSTEM32>\wlujwwgl.exe
<SYSTEM32>\lnbdqhkg.exe
<SYSTEM32>\xgkaxcij.exe
<SYSTEM32>\rnepupxz.exe
<SYSTEM32>\zbwwixwp.exe

Удаляет следующие файлы:

%TEMP%\~DFA214.tmp
%TEMP%\~DF81.tmp
%TEMP%\~DFB2DB.tmp
%TEMP%\~DF6071.tmp
%TEMP%\~DF5146.tmp
%TEMP%\~DFF2BA.tmp
%TEMP%\~DF9447.tmp
%TEMP%\~DFF2C5.tmp
%TEMP%\~DFA1A8.tmp
%TEMP%\~DF5222.tmp
%TEMP%\~DF4343.tmp
%TEMP%\~DF98.tmp
%TEMP%\~DFBE74.tmp
%TEMP%\~DF1E0D.tmp
%TEMP%\~DFCBF6.tmp
%TEMP%\~DF7BA9.tmp
%TEMP%\~DF6C63.tmp
%TEMP%\~DFFCA.tmp
%TEMP%\~DFAF95.tmp
%TEMP%\~DFF6A.tmp
%TEMP%\~DFC292.tmp
%TEMP%\~DF6EC2.tmp
%TEMP%\~DF6063.tmp
%TEMP%\~DF7A82.tmp
%TEMP%\~DFDACA.tmp
%TEMP%\~DF896D.tmp
%TEMP%\~DF39F5.tmp
%TEMP%\~DF2BA1.tmp
%TEMP%\~DFCBA0.tmp
%TEMP%\~DF6B27.tmp
%TEMP%\~DFCD00.tmp
%TEMP%\~DF7D2F.tmp
%TEMP%\~DF2B19.tmp
%TEMP%\~DF1BF5.tmp
%TEMP%\~DFDB6C.tmp
%TEMP%\~DF945B.tmp
%TEMP%\~DFC6FA.tmp
%TEMP%\~DF3D19.tmp
%TEMP%\~DFE5A8.tmp
%TEMP%\~DF42DF.tmp
%TEMP%\~DFE432.tmp
%TEMP%\~DF8B5A.tmp
%TEMP%\~DFCCD9.tmp
%TEMP%\~DF418C.tmp
<SYSTEM32>\Restore\MachineGuid.txt
%TEMP%\~DF3A16.tmp
%TEMP%\~DF1C24.tmp
%TEMP%\~DF8438.tmp
%TEMP%\~DF6C5C.tmp
%TEMP%\~DF1C3D.tmp
%TEMP%\~DFCD8A.tmp
%TEMP%\~DF34BB.tmp
%TEMP%\~DFD339.tmp
%TEMP%\~DF6EFA.tmp
%TEMP%\~DF5D10.tmp
%TEMP%\~DFD58.tmp
%TEMP%\~DFBDD6.tmp
%TEMP%\~DF2207.tmp
%TEMP%\~DFE5D1.tmp
%TEMP%\~DF91B9.tmp
%TEMP%\~DF9147.tmp
%TEMP%\~DF3D9F.tmp
%TEMP%\~DFD336.tmp
%TEMP%\~DF1C71.tmp
%TEMP%\~DFD949.tmp
%TEMP%\~DF9402.tmp
%TEMP%\~DF7F00.tmp
%TEMP%\~DF2EF6.tmp
%TEMP%\~DFE006.tmp
%TEMP%\~DF47DB.tmp
%TEMP%\~DFDAFF.tmp
%TEMP%\~DF3E1E.tmp
%TEMP%\~DFEDB7.tmp
%TEMP%\~DF9E95.tmp
%TEMP%\~DF89EA.tmp
%TEMP%\~DF2BDD.tmp
%TEMP%\~DFCBF2.tmp
%TEMP%\~DF2A89.tmp
%TEMP%\~DFDAF9.tmp
%TEMP%\~DF8A07.tmp
%TEMP%\~DF7BC7.tmp
%TEMP%\~DF3555.tmp
%TEMP%\~DFFA50.tmp
%TEMP%\~DF5D24.tmp
%TEMP%\~DFED4.tmp
%TEMP%\~DFBCFD.tmp
%TEMP%\~DFAABF.tmp
%TEMP%\~DF4960.tmp
%TEMP%\~DFE4EC.tmp
%TEMP%\~DF4EC6.tmp
%TEMP%\~DFFFF0.tmp
%TEMP%\~DFB057.tmp
%TEMP%\~DF98B3.tmp

Сетевая активность:

Подключается к:

'localhost':1069
'localhost':1068
'localhost':1067
'localhost':1072
'localhost':1071
'localhost':1070
'localhost':1063
'localhost':1062
'localhost':1061
'localhost':1066
'localhost':1065
'localhost':1064
'localhost':1081
'localhost':1080
'localhost':1079
'localhost':1084
'localhost':1083
'localhost':1082
'localhost':1075
'localhost':1074
'localhost':1073
'localhost':1078
'localhost':1077
'localhost':1076
'localhost':1060
'localhost':1044
'localhost':1043
'localhost':1042
'localhost':1047
'localhost':1046
'localhost':1045
'localhost':1038
'el#####e.dothome.co.kr':80
'localhost':1035
'localhost':1041
'localhost':1040
'localhost':1039
'localhost':1056
'localhost':1055
'localhost':1054
'localhost':1059
'localhost':1058
'localhost':1057
'localhost':1050
'localhost':1049
'localhost':1048
'localhost':1053
'localhost':1052
'localhost':1051

TCP:

Запросы HTTP GET:

el#####e.dothome.co.kr/TVNXSU5TQ0s.ocx

UDP:

DNS ASK el#####e.dothome.co.kr

Другое:

Ищет следующие окна:

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '18467-41' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней