Trojan.DownLoader7.26708

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\aicrmqyy.exe
<SYSTEM32>\cvljnxim.exe
<SYSTEM32>\mlublxpg.exe
<SYSTEM32>\hoxzlyjt.exe
<SYSTEM32>\brqtvizc.exe
<SYSTEM32>\bceshdem.exe
<SYSTEM32>\vdanrnpq.exe
<SYSTEM32>\dyponkmw.exe
<SYSTEM32>\pnugcowj.exe
<SYSTEM32>\gghbgkay.exe
<SYSTEM32>\zhlwlhjz.exe
<SYSTEM32>\zmimmkkz.exe
<SYSTEM32>\ezhtchtt.exe
<SYSTEM32>\roetpalc.exe
<SYSTEM32>\kfeidghw.exe
<SYSTEM32>\dlltqjgb.exe
<SYSTEM32>\vgwwizyb.exe
<SYSTEM32>\omdnygee.exe
<SYSTEM32>\pkmjftkp.exe
<SYSTEM32>\taeuvcfi.exe
<SYSTEM32>\ohkpylur.exe
<SYSTEM32>\rdbkmimf.exe
<SYSTEM32>\xfxwczfv.exe
<SYSTEM32>\xbfosgyg.exe
<SYSTEM32>\yssxhhab.exe
<SYSTEM32>\zevigefh.exe
<SYSTEM32>\xllqblrl.exe
<SYSTEM32>\kiowbpmj.exe
<SYSTEM32>\mngzxcos.exe
<SYSTEM32>\jsvfdjry.exe

Запускает на исполнение:

<SYSTEM32>\svchost.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\vdanrnpq.exe
<SYSTEM32>\bceshdem.exe
<SYSTEM32>\aicrmqyy.exe
<SYSTEM32>\hoxzlyjt.exe
<SYSTEM32>\brqtvizc.exe
<SYSTEM32>\xbfosgyg.exe
<SYSTEM32>\xllqblrl.exe
<SYSTEM32>\zevigefh.exe
<SYSTEM32>\yssxhhab.exe
<SYSTEM32>\cvljnxim.exe
<SYSTEM32>\pnugcowj.exe
<SYSTEM32>\zmimmkkz.exe
<SYSTEM32>\zhlwlhjz.exe
<SYSTEM32>\gghbgkay.exe
<SYSTEM32>\kfeidghw.exe
<SYSTEM32>\dyponkmw.exe
<SYSTEM32>\mlublxpg.exe
<SYSTEM32>\roetpalc.exe
<SYSTEM32>\ezhtchtt.exe
<SYSTEM32>\jsvfdjry.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\DGSpy[1].dll
<SYSTEM32>\taeuvcfi.exe
<SYSTEM32>\ohkpylur.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vb6ko[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\vb6ko[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\MSWINSCK[1].ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\DGSpy[1].dll
<SYSTEM32>\MSWINSCK.ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\DGSpy[1].dll
<SYSTEM32>\xfxwczfv.exe
<SYSTEM32>\omdnygee.exe
<SYSTEM32>\mngzxcos.exe
<SYSTEM32>\kiowbpmj.exe
<SYSTEM32>\vgwwizyb.exe
<SYSTEM32>\rdbkmimf.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vb6ko[1].dll
<SYSTEM32>\dlltqjgb.exe
<SYSTEM32>\pkmjftkp.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\aicrmqyy.exe
<SYSTEM32>\cvljnxim.exe
<SYSTEM32>\mlublxpg.exe
<SYSTEM32>\hoxzlyjt.exe
<SYSTEM32>\brqtvizc.exe
<SYSTEM32>\bceshdem.exe
<SYSTEM32>\vdanrnpq.exe
<SYSTEM32>\dyponkmw.exe
<SYSTEM32>\pnugcowj.exe
<SYSTEM32>\gghbgkay.exe
<SYSTEM32>\zhlwlhjz.exe
<SYSTEM32>\zmimmkkz.exe
<SYSTEM32>\ezhtchtt.exe
<SYSTEM32>\roetpalc.exe
<SYSTEM32>\kfeidghw.exe
<SYSTEM32>\dlltqjgb.exe
<SYSTEM32>\vgwwizyb.exe
<SYSTEM32>\omdnygee.exe
<SYSTEM32>\pkmjftkp.exe
<SYSTEM32>\taeuvcfi.exe
<SYSTEM32>\ohkpylur.exe
<SYSTEM32>\rdbkmimf.exe
<SYSTEM32>\xfxwczfv.exe
<SYSTEM32>\xbfosgyg.exe
<SYSTEM32>\yssxhhab.exe
<SYSTEM32>\zevigefh.exe
<SYSTEM32>\xllqblrl.exe
<SYSTEM32>\kiowbpmj.exe
<SYSTEM32>\mngzxcos.exe
<SYSTEM32>\jsvfdjry.exe

Удаляет следующие файлы:

%TEMP%\~DFDC71.tmp
%TEMP%\~DF2085.tmp
%TEMP%\~DF41D3.tmp
%TEMP%\~DF85B7.tmp
%TEMP%\~DF7E7.tmp
%TEMP%\~DF4BC9.tmp
%TEMP%\~DF6CF1.tmp
%TEMP%\~DFAFF2.tmp
%TEMP%\~DF85EC.tmp
%TEMP%\~DFC854.tmp
%TEMP%\~DFEC8C.tmp
%TEMP%\~DF2E69.tmp
%TEMP%\~DFB077.tmp
%TEMP%\~DFF4D6.tmp
%TEMP%\~DF15DE.tmp
%TEMP%\~DF5A13.tmp
%TEMP%\~DF98C0.tmp
%TEMP%\~DFE0FF.tmp
%TEMP%\~DF2C1E.tmp
%TEMP%\~DF441D.tmp
%TEMP%\~DF99E7.tmp
%TEMP%\~DF10A4.tmp
%TEMP%\~DF5ADF.tmp
%TEMP%\~DF734B.tmp
%TEMP%\~DFC86F.tmp
%TEMP%\~DF82ED.tmp
%TEMP%\~DFCB70.tmp
%TEMP%\~DFE372.tmp
%TEMP%\~DF33FF.tmp
%TEMP%\~DFB199.tmp
%TEMP%\~DFFE06.tmp
%TEMP%\~DF1603.tmp
%TEMP%\~DF6A4B.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\DGSpy[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vb6ko[1].dll
%TEMP%\~DF339C.tmp
%TEMP%\~DF88CF.tmp
%TEMP%\~DF65FD.tmp
%TEMP%\~DFBACD.tmp
%TEMP%\~DFD31F.tmp
%TEMP%\~DF1BD4.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\DGSpy[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\vb6ko[1].dll
%TEMP%\~DFF744.tmp
%TEMP%\~DF176F.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\DGSpy[1].dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vb6ko[1].dll
%TEMP%\~DFA154.tmp
%TEMP%\~DFDED7.tmp
%TEMP%\~DF31F.tmp
%TEMP%\~DF3545.tmp
%TEMP%\~DF7586.tmp
%TEMP%\~DF9CDC.tmp
%TEMP%\~DFDC49.tmp
%TEMP%\~DF5D87.tmp
%TEMP%\~DF9DC6.tmp
%TEMP%\~DFC421.tmp
%TEMP%\~DF467.tmp
%TEMP%\~DFEAEB.tmp
%TEMP%\~DF2790.tmp
%TEMP%\~DF4DC1.tmp
%TEMP%\~DF9007.tmp
%TEMP%\~DFFA1.tmp
%TEMP%\~DF4D26.tmp
%TEMP%\~DF77E8.tmp
%TEMP%\~DFB4B8.tmp

Сетевая активность:

Подключается к:

'localhost':1095
'localhost':1092
'localhost':1101
'localhost':1098
'localhost':1083
'localhost':1080
'localhost':1089
'localhost':1086
'localhost':1104
'localhost':1122
'localhost':1119
'localhost':1128
'localhost':1125
'localhost':1110
'localhost':1107
'localhost':1116
'localhost':1113
'localhost':1044
'localhost':1041
'localhost':1050
'localhost':1047
'localhost':1037
'bl##.naver.com':80
'12#.#37.179.171':800
'js####1.maru.net':80
'localhost':1053
'localhost':1071
'localhost':1068
'localhost':1077
'localhost':1074
'localhost':1059
'localhost':1056
'localhost':1065
'localhost':1062

TCP:

Запросы HTTP GET:

js####1.maru.net/tool/DGSpy.dll
js####1.maru.net/tool/vb6ko.dll
bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
js####1.maru.net/tool/MSWINSCK.ocx

UDP: