Trojan.DownLoader35.59216

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-ebins.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\hampoo\is-cdkrk.tmp
%ProgramFiles(x86)%\hampoo\is-nhjts.tmp
%ProgramFiles(x86)%\hampoo\is-h6q09.tmp
%ProgramFiles(x86)%\hampoo\is-hmm0k.tmp
%ProgramFiles(x86)%\hampoo\is-avu7j.tmp
%ProgramFiles(x86)%\hampoo\is-gss4k.tmp
%ProgramFiles(x86)%\hampoo\is-lamf5.tmp
%ProgramFiles(x86)%\hampoo\is-u6b64.tmp
%ProgramFiles(x86)%\hampoo\is-gj0f8.tmp
%ProgramFiles(x86)%\hampoo\is-t675s.tmp
%ProgramFiles(x86)%\hampoo\is-0ko69.tmp
%ProgramFiles(x86)%\hampoo\is-qt2kj.tmp
%ProgramFiles(x86)%\hampoo\is-gp9pb.tmp
%ProgramFiles(x86)%\hampoo\is-v8k3d.tmp
%ProgramFiles(x86)%\hampoo\is-3gg18.tmp
%ProgramFiles(x86)%\hampoo\is-ta27d.tmp
%ProgramFiles(x86)%\hampoo\is-1hjjt.tmp
%ProgramFiles(x86)%\hampoo\is-hk3ol.tmp
%ProgramFiles(x86)%\hampoo\is-58sd8.tmp
%ProgramFiles(x86)%\hampoo\is-2uadk.tmp
%ProgramFiles(x86)%\hampoo\is-iimcu.tmp
%ProgramFiles(x86)%\hampoo\is-v91vr.tmp
%ProgramFiles(x86)%\hampoo\is-38u4s.tmp
%ProgramFiles(x86)%\hampoo\is-6p1p0.tmp
%ProgramFiles(x86)%\hampoo\is-j4vj8.tmp
%ProgramFiles(x86)%\hampoo\is-3g86g.tmp
%ProgramFiles(x86)%\hampoo\is-l25cd.tmp
%TEMP%\is-f8vo8.tmp\_isetup\_iscrypt.dll
%TEMP%\is-f8vo8.tmp\_isetup\_shfoldr.dll
%TEMP%\is-f8vo8.tmp\_isetup\_setup64.tmp
%TEMP%\is-f8vo8.tmp\_isetup\_regdll.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\hampoo\hampoo burning studio 20\hampoo burning studio 20 .lnk
%ProgramFiles(x86)%\hampoo\unins000.dat

Удаляет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\hampoo\is-l25cd.tmp в %ProgramFiles(x86)%\hampoo\unins000.exe
%ProgramFiles(x86)%\hampoo\is-qt2kj.tmp в %ProgramFiles(x86)%\hampoo\startrescueexplorer.ico
%ProgramFiles(x86)%\hampoo\is-t675s.tmp в %ProgramFiles(x86)%\hampoo\license-fi.txt
%ProgramFiles(x86)%\hampoo\is-lamf5.tmp в %ProgramFiles(x86)%\hampoo\gdiplus.dll
%ProgramFiles(x86)%\hampoo\is-6p1p0.tmp в %ProgramFiles(x86)%\hampoo\irrlicht.dll
%ProgramFiles(x86)%\hampoo\is-gss4k.tmp в %ProgramFiles(x86)%\hampoo\d3dx9_43.dll
%ProgramFiles(x86)%\hampoo\is-avu7j.tmp в %ProgramFiles(x86)%\hampoo\avfilter_ash-6.dll
%ProgramFiles(x86)%\hampoo\is-hmm0k.tmp в %ProgramFiles(x86)%\hampoo\swresample_ash-2.dll
%ProgramFiles(x86)%\hampoo\is-h6q09.tmp в %ProgramFiles(x86)%\hampoo\swscale_ash-4.dll
%ProgramFiles(x86)%\hampoo\is-nhjts.tmp в %ProgramFiles(x86)%\hampoo\avutil_ash-55.dll
%ProgramFiles(x86)%\hampoo\is-cdkrk.tmp в %ProgramFiles(x86)%\hampoo\bsnotify.exe
%ProgramFiles(x86)%\hampoo\is-gp9pb.tmp в %ProgramFiles(x86)%\hampoo\wmfdist.exe
%ProgramFiles(x86)%\hampoo\is-3gg18.tmp в %ProgramFiles(x86)%\hampoo\ash_spti.dll
%ProgramFiles(x86)%\hampoo\is-1hjjt.tmp в %ProgramFiles(x86)%\hampoo\audiotools.dll
%ProgramFiles(x86)%\hampoo\is-hk3ol.tmp в %ProgramFiles(x86)%\hampoo\burningstudio20.exe
%ProgramFiles(x86)%\hampoo\is-58sd8.tmp в %ProgramFiles(x86)%\hampoo\info.xml
%ProgramFiles(x86)%\hampoo\is-2uadk.tmp в %ProgramFiles(x86)%\hampoo\version.info
%ProgramFiles(x86)%\hampoo\is-iimcu.tmp в %ProgramFiles(x86)%\hampoo\product.xml
%ProgramFiles(x86)%\hampoo\is-v91vr.tmp в %ProgramFiles(x86)%\hampoo\license-en.txt
%ProgramFiles(x86)%\hampoo\is-38u4s.tmp в %ProgramFiles(x86)%\hampoo\license-de.txt
%ProgramFiles(x86)%\hampoo\is-u6b64.tmp в %ProgramFiles(x86)%\hampoo\setupdownloader.exe
%ProgramFiles(x86)%\hampoo\is-j4vj8.tmp в %ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\is-3g86g.tmp в %ProgramFiles(x86)%\hampoo\license-curl.txt
%ProgramFiles(x86)%\hampoo\is-ta27d.tmp в %ProgramFiles(x86)%\hampoo\decmpa.dll
%ProgramFiles(x86)%\hampoo\is-v8k3d.tmp в %ProgramFiles(x86)%\hampoo\sqlite3.dll

Подменяет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Сетевая активность

Подключается к

'op###olad.com':80

TCP

Запросы HTTP POST

http://op###olad.com/v2/events

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: '339C1B97-155F-C10C-D4D6-BA03C805EAE4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-ebins.tmp\<Имя файла>.tmp' /SL5="$B0216,10699621,54272,<Полный путь к файлу>"
'%ProgramFiles(x86)%\hampoo\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\hampoo\burningstudio20.exe' <Имя файла>.exe