Trojan.DownLoader35.55117

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-r515d.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\shampoo\is-a78ng.tmp
%ProgramFiles(x86)%\shampoo\is-u5s27.tmp
%ProgramFiles(x86)%\shampoo\is-o9qj0.tmp
%ProgramFiles(x86)%\shampoo\is-nngf5.tmp
%ProgramFiles(x86)%\shampoo\is-edo56.tmp
%ProgramFiles(x86)%\shampoo\is-n7a1k.tmp
%ProgramFiles(x86)%\shampoo\is-96930.tmp
%ProgramFiles(x86)%\shampoo\is-usmc7.tmp
%ProgramFiles(x86)%\shampoo\is-lh4n2.tmp
%ProgramFiles(x86)%\shampoo\is-h59uq.tmp
%ProgramFiles(x86)%\shampoo\is-35gvu.tmp
%ProgramFiles(x86)%\shampoo\is-ool5u.tmp
%ProgramFiles(x86)%\shampoo\is-jqn55.tmp
%ProgramFiles(x86)%\shampoo\is-8qa7g.tmp
%ProgramFiles(x86)%\shampoo\is-9gvie.tmp
%ProgramFiles(x86)%\shampoo\is-53o6f.tmp
%ProgramFiles(x86)%\shampoo\is-1k88q.tmp
%ProgramFiles(x86)%\shampoo\is-9vfmq.tmp
%ProgramFiles(x86)%\shampoo\is-e1rh1.tmp
%ProgramFiles(x86)%\shampoo\is-celdt.tmp
%TEMP%\is-lbuk4.tmp\_isetup\_shfoldr.dll
%TEMP%\is-lbuk4.tmp\_isetup\_iscrypt.dll
%ProgramFiles(x86)%\shampoo\is-mimqc.tmp
%ProgramFiles(x86)%\shampoo\is-ru2or.tmp
%ProgramFiles(x86)%\shampoo\is-pe5dc.tmp
%ProgramFiles(x86)%\shampoo\is-1mt1a.tmp
%ProgramFiles(x86)%\shampoo\is-uhf77.tmp
%TEMP%\is-lbuk4.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\shampoo\is-iaug0.tmp
%ProgramFiles(x86)%\shampoo\is-ea82m.tmp
%ProgramFiles(x86)%\shampoo\is-bst92.tmp
%ProgramFiles(x86)%\shampoo\is-ukn08.tmp
%ProgramFiles(x86)%\shampoo\is-hfe8g.tmp
%ProgramFiles(x86)%\shampoo\is-83rn0.tmp
%ProgramFiles(x86)%\shampoo\is-614pm.tmp
%ProgramFiles(x86)%\shampoo\is-v9nab.tmp
%ProgramFiles(x86)%\shampoo\is-r4ok8.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\shampoo\shampoo burning studio 20\shampoo burning studio 20 .lnk
%ProgramFiles(x86)%\shampoo\unins000.dat

Удаляет следующие файлы

%ProgramFiles(x86)%\shampoo\ash_libcurl.dll
%ProgramFiles(x86)%\shampoo\license-curl.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\shampoo\is-mimqc.tmp в %ProgramFiles(x86)%\shampoo\unins000.exe
%ProgramFiles(x86)%\shampoo\is-jqn55.tmp в %ProgramFiles(x86)%\shampoo\startrescueexplorer.ico
%ProgramFiles(x86)%\shampoo\is-35gvu.tmp в %ProgramFiles(x86)%\shampoo\license-fi.txt
%ProgramFiles(x86)%\shampoo\is-1k88q.tmp в %ProgramFiles(x86)%\shampoo\gdiplus.dll
%ProgramFiles(x86)%\shampoo\is-53o6f.tmp в %ProgramFiles(x86)%\shampoo\irrlicht.dll
%ProgramFiles(x86)%\shampoo\is-lh4n2.tmp в %ProgramFiles(x86)%\shampoo\d3dx9_43.dll
%ProgramFiles(x86)%\shampoo\is-n7a1k.tmp в %ProgramFiles(x86)%\shampoo\avfilter_ash-6.dll
%ProgramFiles(x86)%\shampoo\is-edo56.tmp в %ProgramFiles(x86)%\shampoo\swresample_ash-2.dll
%ProgramFiles(x86)%\shampoo\is-nngf5.tmp в %ProgramFiles(x86)%\shampoo\swscale_ash-4.dll
%ProgramFiles(x86)%\shampoo\is-o9qj0.tmp в %ProgramFiles(x86)%\shampoo\avutil_ash-55.dll
%ProgramFiles(x86)%\shampoo\is-u5s27.tmp в %ProgramFiles(x86)%\shampoo\mediainfo.dll
%ProgramFiles(x86)%\shampoo\is-a78ng.tmp в %ProgramFiles(x86)%\shampoo\_startrescueexplorer.exe
%ProgramFiles(x86)%\shampoo\is-usmc7.tmp в %ProgramFiles(x86)%\shampoo\ashdriversetup.exe
%ProgramFiles(x86)%\shampoo\is-96930.tmp в %ProgramFiles(x86)%\shampoo\burningstudioprogress.exe
%ProgramFiles(x86)%\shampoo\is-9vfmq.tmp в %ProgramFiles(x86)%\shampoo\peru.interop.dll
%ProgramFiles(x86)%\shampoo\is-e1rh1.tmp в %ProgramFiles(x86)%\shampoo\ash_m2tsmux.dll
%ProgramFiles(x86)%\shampoo\is-celdt.tmp в %ProgramFiles(x86)%\shampoo\ash_amf.dll
%ProgramFiles(x86)%\shampoo\is-v9nab.tmp в %ProgramFiles(x86)%\shampoo\bsnotify.exe
%ProgramFiles(x86)%\shampoo\is-614pm.tmp в %ProgramFiles(x86)%\shampoo\ash_spti.dll
%ProgramFiles(x86)%\shampoo\is-83rn0.tmp в %ProgramFiles(x86)%\shampoo\decmpa.dll
%ProgramFiles(x86)%\shampoo\is-hfe8g.tmp в %ProgramFiles(x86)%\shampoo\audiotools.dll
%ProgramFiles(x86)%\shampoo\is-ukn08.tmp в %ProgramFiles(x86)%\shampoo\burningstudio20.exe
%ProgramFiles(x86)%\shampoo\is-bst92.tmp в %ProgramFiles(x86)%\shampoo\info.xml
%ProgramFiles(x86)%\shampoo\is-ea82m.tmp в %ProgramFiles(x86)%\shampoo\version.info
%ProgramFiles(x86)%\shampoo\is-r4ok8.tmp в %ProgramFiles(x86)%\shampoo\product.xml
%ProgramFiles(x86)%\shampoo\is-iaug0.tmp в %ProgramFiles(x86)%\shampoo\license-en.txt
%ProgramFiles(x86)%\shampoo\is-uhf77.tmp в %ProgramFiles(x86)%\shampoo\license-de.txt
%ProgramFiles(x86)%\shampoo\is-1mt1a.tmp в %ProgramFiles(x86)%\shampoo\setupdownloader.exe
%ProgramFiles(x86)%\shampoo\is-pe5dc.tmp в %ProgramFiles(x86)%\shampoo\ash_libcurl.dll
%ProgramFiles(x86)%\shampoo\is-ru2or.tmp в %ProgramFiles(x86)%\shampoo\license-curl.txt
%ProgramFiles(x86)%\shampoo\is-8qa7g.tmp в %ProgramFiles(x86)%\shampoo\wmfdist.exe
%ProgramFiles(x86)%\shampoo\is-9gvie.tmp в %ProgramFiles(x86)%\shampoo\sqlite3.dll

Подменяет следующие файлы

%ProgramFiles(x86)%\shampoo\ash_libcurl.dll
%ProgramFiles(x86)%\shampoo\license-curl.txt

Сетевая активность

Подключается к

'op###olad.com':80

TCP

Запросы HTTP POST

http://op###olad.com/v2/events

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: '1B339C97-155F-C10C-D4D6-ABA03C805EE4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-r515d.tmp\<Имя файла>.tmp' /SL5="$A021E,13094376,346624,<Полный путь к файлу>"
'%ProgramFiles(x86)%\shampoo\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\shampoo\burningstudio20.exe' <Имя файла>.exe