Trojan.DownLoader35.59214

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-u5168.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\hampoo\is-mrv5e.tmp
%ProgramFiles(x86)%\hampoo\is-rg4ei.tmp
%ProgramFiles(x86)%\hampoo\is-c9lig.tmp
%ProgramFiles(x86)%\hampoo\is-hf4lf.tmp
%ProgramFiles(x86)%\hampoo\is-tungj.tmp
%ProgramFiles(x86)%\hampoo\is-h62ld.tmp
%ProgramFiles(x86)%\hampoo\is-kbner.tmp
%ProgramFiles(x86)%\hampoo\is-1t799.tmp
%ProgramFiles(x86)%\hampoo\is-qc42d.tmp
%ProgramFiles(x86)%\hampoo\is-mkadf.tmp
%ProgramFiles(x86)%\hampoo\is-vdmj2.tmp
%ProgramFiles(x86)%\hampoo\is-jkpm9.tmp
%ProgramFiles(x86)%\hampoo\is-3ggak.tmp
%ProgramFiles(x86)%\hampoo\is-o0d5g.tmp
%ProgramFiles(x86)%\hampoo\is-ljtde.tmp
%ProgramFiles(x86)%\hampoo\is-3dv5g.tmp
%ProgramFiles(x86)%\hampoo\is-mcnu5.tmp
%ProgramFiles(x86)%\hampoo\is-1mkl5.tmp
%ProgramFiles(x86)%\hampoo\is-paoe0.tmp
%ProgramFiles(x86)%\hampoo\is-ju2n0.tmp
%ProgramFiles(x86)%\hampoo\is-1f8tf.tmp
%ProgramFiles(x86)%\hampoo\is-i5oo0.tmp
%ProgramFiles(x86)%\hampoo\is-ue12c.tmp
%ProgramFiles(x86)%\hampoo\is-nf2vp.tmp
%ProgramFiles(x86)%\hampoo\is-hqgpn.tmp
%ProgramFiles(x86)%\hampoo\is-42la8.tmp
%ProgramFiles(x86)%\hampoo\is-kkh9q.tmp
%TEMP%\is-f0a2i.tmp\_isetup\_iscrypt.dll
%TEMP%\is-f0a2i.tmp\_isetup\_shfoldr.dll
%TEMP%\is-f0a2i.tmp\_isetup\_setup64.tmp
%TEMP%\is-f0a2i.tmp\_isetup\_regdll.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\hampoo\hampoo burning studio 20\hampoo burning studio 20 .lnk
%ProgramFiles(x86)%\hampoo\unins000.dat

Удаляет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\hampoo\is-kkh9q.tmp в %ProgramFiles(x86)%\hampoo\unins000.exe
%ProgramFiles(x86)%\hampoo\is-jkpm9.tmp в %ProgramFiles(x86)%\hampoo\startrescueexplorer.ico
%ProgramFiles(x86)%\hampoo\is-mkadf.tmp в %ProgramFiles(x86)%\hampoo\license-fi.txt
%ProgramFiles(x86)%\hampoo\is-kbner.tmp в %ProgramFiles(x86)%\hampoo\gdiplus.dll
%ProgramFiles(x86)%\hampoo\is-nf2vp.tmp в %ProgramFiles(x86)%\hampoo\irrlicht.dll
%ProgramFiles(x86)%\hampoo\is-h62ld.tmp в %ProgramFiles(x86)%\hampoo\d3dx9_43.dll
%ProgramFiles(x86)%\hampoo\is-tungj.tmp в %ProgramFiles(x86)%\hampoo\avfilter_ash-6.dll
%ProgramFiles(x86)%\hampoo\is-hf4lf.tmp в %ProgramFiles(x86)%\hampoo\swresample_ash-2.dll
%ProgramFiles(x86)%\hampoo\is-c9lig.tmp в %ProgramFiles(x86)%\hampoo\swscale_ash-4.dll
%ProgramFiles(x86)%\hampoo\is-rg4ei.tmp в %ProgramFiles(x86)%\hampoo\avutil_ash-55.dll
%ProgramFiles(x86)%\hampoo\is-mrv5e.tmp в %ProgramFiles(x86)%\hampoo\bsnotify.exe
%ProgramFiles(x86)%\hampoo\is-3ggak.tmp в %ProgramFiles(x86)%\hampoo\wmfdist.exe
%ProgramFiles(x86)%\hampoo\is-ljtde.tmp в %ProgramFiles(x86)%\hampoo\ash_spti.dll
%ProgramFiles(x86)%\hampoo\is-mcnu5.tmp в %ProgramFiles(x86)%\hampoo\audiotools.dll
%ProgramFiles(x86)%\hampoo\is-1mkl5.tmp в %ProgramFiles(x86)%\hampoo\burningstudio20.exe
%ProgramFiles(x86)%\hampoo\is-paoe0.tmp в %ProgramFiles(x86)%\hampoo\info.xml
%ProgramFiles(x86)%\hampoo\is-ju2n0.tmp в %ProgramFiles(x86)%\hampoo\version.info
%ProgramFiles(x86)%\hampoo\is-1f8tf.tmp в %ProgramFiles(x86)%\hampoo\product.xml
%ProgramFiles(x86)%\hampoo\is-i5oo0.tmp в %ProgramFiles(x86)%\hampoo\license-en.txt
%ProgramFiles(x86)%\hampoo\is-ue12c.tmp в %ProgramFiles(x86)%\hampoo\license-de.txt
%ProgramFiles(x86)%\hampoo\is-1t799.tmp в %ProgramFiles(x86)%\hampoo\setupdownloader.exe
%ProgramFiles(x86)%\hampoo\is-hqgpn.tmp в %ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\is-42la8.tmp в %ProgramFiles(x86)%\hampoo\license-curl.txt
%ProgramFiles(x86)%\hampoo\is-3dv5g.tmp в %ProgramFiles(x86)%\hampoo\decmpa.dll
%ProgramFiles(x86)%\hampoo\is-o0d5g.tmp в %ProgramFiles(x86)%\hampoo\sqlite3.dll

Подменяет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Сетевая активность

Подключается к

'op###olad.com':80

TCP

Запросы HTTP POST

http://op###olad.com/v2/events

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: '339C1B97-155F-C10C-D4D6-BA03C805EAE4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-u5168.tmp\<Имя файла>.tmp' /SL5="$120228,10697657,54272,<Полный путь к файлу>"
'%ProgramFiles(x86)%\hampoo\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\hampoo\burningstudio20.exe' <Имя файла>.exe