Trojan.DownLoader35.54089

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-4bra5.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\shampoo\is-vhu4h.tmp
%ProgramFiles(x86)%\shampoo\is-1q1ks.tmp
%ProgramFiles(x86)%\shampoo\is-bab7q.tmp
%ProgramFiles(x86)%\shampoo\is-vbrco.tmp
%ProgramFiles(x86)%\shampoo\is-4hl4k.tmp
%ProgramFiles(x86)%\shampoo\is-vdaob.tmp
%ProgramFiles(x86)%\shampoo\is-07usr.tmp
%ProgramFiles(x86)%\shampoo\is-l8jqt.tmp
%ProgramFiles(x86)%\shampoo\is-vl787.tmp
%ProgramFiles(x86)%\shampoo\is-cma5f.tmp
%ProgramFiles(x86)%\shampoo\is-sin8r.tmp
%ProgramFiles(x86)%\shampoo\is-baunu.tmp
%ProgramFiles(x86)%\shampoo\is-pt9qi.tmp
%ProgramFiles(x86)%\shampoo\is-bm5s0.tmp
%ProgramFiles(x86)%\shampoo\is-e0h8d.tmp
%ProgramFiles(x86)%\shampoo\is-k5fpq.tmp
%ProgramFiles(x86)%\shampoo\is-rd4t2.tmp
%ProgramFiles(x86)%\shampoo\is-7b5v9.tmp
%ProgramFiles(x86)%\shampoo\is-cqm41.tmp
%ProgramFiles(x86)%\shampoo\is-66lik.tmp
%TEMP%\is-654an.tmp\_isetup\_shfoldr.dll
%TEMP%\is-654an.tmp\_isetup\_iscrypt.dll
%ProgramFiles(x86)%\shampoo\is-m6nkq.tmp
%ProgramFiles(x86)%\shampoo\is-qacch.tmp
%ProgramFiles(x86)%\shampoo\is-vk0ta.tmp
%ProgramFiles(x86)%\shampoo\is-orfke.tmp
%ProgramFiles(x86)%\shampoo\is-g09ob.tmp
%TEMP%\is-654an.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\shampoo\is-5e6t6.tmp
%ProgramFiles(x86)%\shampoo\is-9k52n.tmp
%ProgramFiles(x86)%\shampoo\is-o4h2p.tmp
%ProgramFiles(x86)%\shampoo\is-2io09.tmp
%ProgramFiles(x86)%\shampoo\is-scp63.tmp
%ProgramFiles(x86)%\shampoo\is-e7vub.tmp
%ProgramFiles(x86)%\shampoo\is-bgdvr.tmp
%ProgramFiles(x86)%\shampoo\is-acpgj.tmp
%ProgramFiles(x86)%\shampoo\is-oq5bi.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\shampoo\shampoo burning studio 20\shampoo burning studio 20 .lnk
%ProgramFiles(x86)%\shampoo\unins000.dat

Удаляет следующие файлы

%ProgramFiles(x86)%\shampoo\ash_libcurl.dll
%ProgramFiles(x86)%\shampoo\license-curl.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\shampoo\is-m6nkq.tmp в %ProgramFiles(x86)%\shampoo\unins000.exe
%ProgramFiles(x86)%\shampoo\is-pt9qi.tmp в %ProgramFiles(x86)%\shampoo\startrescueexplorer.ico
%ProgramFiles(x86)%\shampoo\is-sin8r.tmp в %ProgramFiles(x86)%\shampoo\license-fi.txt
%ProgramFiles(x86)%\shampoo\is-rd4t2.tmp в %ProgramFiles(x86)%\shampoo\gdiplus.dll
%ProgramFiles(x86)%\shampoo\is-k5fpq.tmp в %ProgramFiles(x86)%\shampoo\irrlicht.dll
%ProgramFiles(x86)%\shampoo\is-vl787.tmp в %ProgramFiles(x86)%\shampoo\d3dx9_43.dll
%ProgramFiles(x86)%\shampoo\is-vdaob.tmp в %ProgramFiles(x86)%\shampoo\avfilter_ash-6.dll
%ProgramFiles(x86)%\shampoo\is-4hl4k.tmp в %ProgramFiles(x86)%\shampoo\swresample_ash-2.dll
%ProgramFiles(x86)%\shampoo\is-vbrco.tmp в %ProgramFiles(x86)%\shampoo\swscale_ash-4.dll
%ProgramFiles(x86)%\shampoo\is-bab7q.tmp в %ProgramFiles(x86)%\shampoo\avutil_ash-55.dll
%ProgramFiles(x86)%\shampoo\is-1q1ks.tmp в %ProgramFiles(x86)%\shampoo\mediainfo.dll
%ProgramFiles(x86)%\shampoo\is-vhu4h.tmp в %ProgramFiles(x86)%\shampoo\_startrescueexplorer.exe
%ProgramFiles(x86)%\shampoo\is-l8jqt.tmp в %ProgramFiles(x86)%\shampoo\ashdriversetup.exe
%ProgramFiles(x86)%\shampoo\is-07usr.tmp в %ProgramFiles(x86)%\shampoo\burningstudioprogress.exe
%ProgramFiles(x86)%\shampoo\is-7b5v9.tmp в %ProgramFiles(x86)%\shampoo\peru.interop.dll
%ProgramFiles(x86)%\shampoo\is-cqm41.tmp в %ProgramFiles(x86)%\shampoo\ash_m2tsmux.dll
%ProgramFiles(x86)%\shampoo\is-66lik.tmp в %ProgramFiles(x86)%\shampoo\ash_amf.dll
%ProgramFiles(x86)%\shampoo\is-acpgj.tmp в %ProgramFiles(x86)%\shampoo\bsnotify.exe
%ProgramFiles(x86)%\shampoo\is-bgdvr.tmp в %ProgramFiles(x86)%\shampoo\ash_spti.dll
%ProgramFiles(x86)%\shampoo\is-e7vub.tmp в %ProgramFiles(x86)%\shampoo\decmpa.dll
%ProgramFiles(x86)%\shampoo\is-scp63.tmp в %ProgramFiles(x86)%\shampoo\audiotools.dll
%ProgramFiles(x86)%\shampoo\is-2io09.tmp в %ProgramFiles(x86)%\shampoo\burningstudio20.exe
%ProgramFiles(x86)%\shampoo\is-o4h2p.tmp в %ProgramFiles(x86)%\shampoo\info.xml
%ProgramFiles(x86)%\shampoo\is-9k52n.tmp в %ProgramFiles(x86)%\shampoo\version.info
%ProgramFiles(x86)%\shampoo\is-oq5bi.tmp в %ProgramFiles(x86)%\shampoo\product.xml
%ProgramFiles(x86)%\shampoo\is-5e6t6.tmp в %ProgramFiles(x86)%\shampoo\license-en.txt
%ProgramFiles(x86)%\shampoo\is-g09ob.tmp в %ProgramFiles(x86)%\shampoo\license-de.txt
%ProgramFiles(x86)%\shampoo\is-orfke.tmp в %ProgramFiles(x86)%\shampoo\setupdownloader.exe
%ProgramFiles(x86)%\shampoo\is-vk0ta.tmp в %ProgramFiles(x86)%\shampoo\ash_libcurl.dll
%ProgramFiles(x86)%\shampoo\is-qacch.tmp в %ProgramFiles(x86)%\shampoo\license-curl.txt
%ProgramFiles(x86)%\shampoo\is-bm5s0.tmp в %ProgramFiles(x86)%\shampoo\wmfdist.exe
%ProgramFiles(x86)%\shampoo\is-e0h8d.tmp в %ProgramFiles(x86)%\shampoo\sqlite3.dll

Подменяет следующие файлы

%ProgramFiles(x86)%\shampoo\ash_libcurl.dll
%ProgramFiles(x86)%\shampoo\license-curl.txt

Сетевая активность

Подключается к

'op###olad.com':80

TCP

Запросы HTTP POST

http://op###olad.com/v2/events

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: '1B339C97-155F-C10C-D4D6-ABA03C805EE4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-4bra5.tmp\<Имя файла>.tmp' /SL5="$D020C,13084284,346624,<Полный путь к файлу>"
'%ProgramFiles(x86)%\shampoo\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\shampoo\burningstudio20.exe' <Имя файла>.exe