Trojan.DownLoader35.64236

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-mtkjg.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\urning studio\is-rrvtr.tmp
%ProgramFiles(x86)%\urning studio\is-9mqcr.tmp
%ProgramFiles(x86)%\urning studio\is-q0kam.tmp
%ProgramFiles(x86)%\urning studio\is-3ftag.tmp
%ProgramFiles(x86)%\urning studio\is-ju8gt.tmp
%ProgramFiles(x86)%\urning studio\is-4hl98.tmp
%ProgramFiles(x86)%\urning studio\is-omqsv.tmp
%ProgramFiles(x86)%\urning studio\is-gqpob.tmp
%ProgramFiles(x86)%\urning studio\is-cmibf.tmp
%ProgramFiles(x86)%\urning studio\is-bt2ab.tmp
%ProgramFiles(x86)%\urning studio\is-6pqjc.tmp
%ProgramFiles(x86)%\urning studio\is-8nin1.tmp
%ProgramFiles(x86)%\urning studio\is-j0cvq.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\urning studio\urning studio .lnk
%ProgramFiles(x86)%\urning studio\is-ta9de.tmp
%ProgramFiles(x86)%\urning studio\is-1tklq.tmp
%ProgramFiles(x86)%\urning studio\is-g7646.tmp
%ProgramFiles(x86)%\urning studio\is-hmi3m.tmp
%ProgramFiles(x86)%\urning studio\is-aoi1l.tmp
%ProgramFiles(x86)%\urning studio\is-sjsnt.tmp
%ProgramFiles(x86)%\urning studio\is-obrip.tmp
%ProgramFiles(x86)%\urning studio\is-avdid.tmp
%ProgramFiles(x86)%\urning studio\is-elhu0.tmp
%ProgramFiles(x86)%\urning studio\is-jhiki.tmp
%TEMP%\is-gbd9u.tmp\_isetup\_iscrypt.dll
%TEMP%\is-gbd9u.tmp\_isetup\_isdecmp.dll
%TEMP%\is-gbd9u.tmp\_isetup\_shfoldr.dll
%TEMP%\is-gbd9u.tmp\_isetup\_setup64.tmp
%ProgramFiles(x86)%\urning studio\is-5lpq6.tmp
%ProgramFiles(x86)%\urning studio\unins000.dat

Перемещает следующие файлы

%ProgramFiles(x86)%\urning studio\is-jhiki.tmp в %ProgramFiles(x86)%\urning studio\unins000.exe
%ProgramFiles(x86)%\urning studio\is-q0kam.tmp в %ProgramFiles(x86)%\urning studio\wmfdist.exe
%ProgramFiles(x86)%\urning studio\is-3ftag.tmp в %ProgramFiles(x86)%\urning studio\startrescueexplorer.ico
%ProgramFiles(x86)%\urning studio\is-ju8gt.tmp в %ProgramFiles(x86)%\urning studio\license-curl.txt
%ProgramFiles(x86)%\urning studio\is-4hl98.tmp в %ProgramFiles(x86)%\urning studio\license-fi.txt
%ProgramFiles(x86)%\urning studio\is-omqsv.tmp в %ProgramFiles(x86)%\urning studio\ash_libcurl.dll
%ProgramFiles(x86)%\urning studio\is-gqpob.tmp в %ProgramFiles(x86)%\urning studio\gdiplus.dll
%ProgramFiles(x86)%\urning studio\is-cmibf.tmp в %ProgramFiles(x86)%\urning studio\irrlicht.dll
%ProgramFiles(x86)%\urning studio\is-bt2ab.tmp в %ProgramFiles(x86)%\urning studio\d3dx9_43.dll
%ProgramFiles(x86)%\urning studio\is-6pqjc.tmp в %ProgramFiles(x86)%\urning studio\avfilter_ash-6.dll
%ProgramFiles(x86)%\urning studio\is-8nin1.tmp в %ProgramFiles(x86)%\urning studio\swresample_ash-2.dll
%ProgramFiles(x86)%\urning studio\is-j0cvq.tmp в %ProgramFiles(x86)%\urning studio\swscale_ash-4.dll
%ProgramFiles(x86)%\urning studio\is-ta9de.tmp в %ProgramFiles(x86)%\urning studio\avutil_ash-55.dll
%ProgramFiles(x86)%\urning studio\is-5lpq6.tmp в %ProgramFiles(x86)%\urning studio\ash_amf.dll
%ProgramFiles(x86)%\urning studio\is-1tklq.tmp в %ProgramFiles(x86)%\urning studio\bsnotify.exe
%ProgramFiles(x86)%\urning studio\is-g7646.tmp в %ProgramFiles(x86)%\urning studio\ash_spti.dll
%ProgramFiles(x86)%\urning studio\is-hmi3m.tmp в %ProgramFiles(x86)%\urning studio\decmpa.dll
%ProgramFiles(x86)%\urning studio\is-aoi1l.tmp в %ProgramFiles(x86)%\urning studio\audiotools.dll
%ProgramFiles(x86)%\urning studio\is-sjsnt.tmp в %ProgramFiles(x86)%\urning studio\info.xml
%ProgramFiles(x86)%\urning studio\is-obrip.tmp в %ProgramFiles(x86)%\urning studio\version.info
%ProgramFiles(x86)%\urning studio\is-avdid.tmp в %ProgramFiles(x86)%\urning studio\product.xml
%ProgramFiles(x86)%\urning studio\is-elhu0.tmp в %ProgramFiles(x86)%\urning studio\license-en.txt
%ProgramFiles(x86)%\urning studio\is-9mqcr.tmp в %ProgramFiles(x86)%\urning studio\urningstudio.exe
%ProgramFiles(x86)%\urning studio\is-rrvtr.tmp в %ProgramFiles(x86)%\urning studio\sqlite3.dll

Сетевая активность

Подключается к

'op###olad.com':80

TCP

Запросы HTTP POST

http://op###olad.com/v2/events

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: 'B9339C17-155F-C10C-D4D6-BA0C805EA3E4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-mtkjg.tmp\<Имя файла>.tmp' /SL5="$150214,11800573,214016,<Полный путь к файлу>"
'%ProgramFiles(x86)%\urning studio\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\urning studio\urningstudio.exe' <Имя файла>.exe