Trojan.DownLoader35.63790

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-tkb06.tmp\<Имя файла>.tmp
%ProgramFiles(x86)%\hampoo\is-7fcu4.tmp
%ProgramFiles(x86)%\hampoo\is-pbq8c.tmp
%ProgramFiles(x86)%\hampoo\is-auvao.tmp
%ProgramFiles(x86)%\hampoo\is-1fd2s.tmp
%ProgramFiles(x86)%\hampoo\is-f8vos.tmp
%ProgramFiles(x86)%\hampoo\is-5jap0.tmp
%ProgramFiles(x86)%\hampoo\is-1av92.tmp
%ProgramFiles(x86)%\hampoo\is-eu9h0.tmp
%ProgramFiles(x86)%\hampoo\is-5ufmp.tmp
%ProgramFiles(x86)%\hampoo\is-fo39l.tmp
%ProgramFiles(x86)%\hampoo\is-i6kf9.tmp
%ProgramFiles(x86)%\hampoo\is-06ufl.tmp
%ProgramFiles(x86)%\hampoo\is-bat6m.tmp
%ProgramFiles(x86)%\hampoo\is-i7u43.tmp
%ProgramFiles(x86)%\hampoo\is-impdb.tmp
%ProgramFiles(x86)%\hampoo\is-57ujr.tmp
%ProgramFiles(x86)%\hampoo\is-dl7hv.tmp
%ProgramFiles(x86)%\hampoo\is-ej0br.tmp
%ProgramFiles(x86)%\hampoo\is-rlasm.tmp
%ProgramFiles(x86)%\hampoo\is-41b7g.tmp
%ProgramFiles(x86)%\hampoo\is-ubak4.tmp
%ProgramFiles(x86)%\hampoo\is-eimr9.tmp
%ProgramFiles(x86)%\hampoo\is-5tv95.tmp
%ProgramFiles(x86)%\hampoo\is-fldkv.tmp
%ProgramFiles(x86)%\hampoo\is-99fh0.tmp
%ProgramFiles(x86)%\hampoo\is-e9apl.tmp
%ProgramFiles(x86)%\hampoo\is-e8df1.tmp
%TEMP%\is-qesfi.tmp\_isetup\_iscrypt.dll
%TEMP%\is-qesfi.tmp\_isetup\_shfoldr.dll
%TEMP%\is-qesfi.tmp\_isetup\_setup64.tmp
%TEMP%\is-qesfi.tmp\_isetup\_regdll.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\hampoo\hampoo burning studio 20\hampoo burning studio 20 .lnk
%ProgramFiles(x86)%\hampoo\unins000.dat

Удаляет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\hampoo\is-e8df1.tmp в %ProgramFiles(x86)%\hampoo\unins000.exe
%ProgramFiles(x86)%\hampoo\is-06ufl.tmp в %ProgramFiles(x86)%\hampoo\startrescueexplorer.ico
%ProgramFiles(x86)%\hampoo\is-fo39l.tmp в %ProgramFiles(x86)%\hampoo\license-fi.txt
%ProgramFiles(x86)%\hampoo\is-1av92.tmp в %ProgramFiles(x86)%\hampoo\gdiplus.dll
%ProgramFiles(x86)%\hampoo\is-fldkv.tmp в %ProgramFiles(x86)%\hampoo\irrlicht.dll
%ProgramFiles(x86)%\hampoo\is-5jap0.tmp в %ProgramFiles(x86)%\hampoo\d3dx9_43.dll
%ProgramFiles(x86)%\hampoo\is-f8vos.tmp в %ProgramFiles(x86)%\hampoo\avfilter_ash-6.dll
%ProgramFiles(x86)%\hampoo\is-1fd2s.tmp в %ProgramFiles(x86)%\hampoo\swresample_ash-2.dll
%ProgramFiles(x86)%\hampoo\is-auvao.tmp в %ProgramFiles(x86)%\hampoo\swscale_ash-4.dll
%ProgramFiles(x86)%\hampoo\is-pbq8c.tmp в %ProgramFiles(x86)%\hampoo\avutil_ash-55.dll
%ProgramFiles(x86)%\hampoo\is-7fcu4.tmp в %ProgramFiles(x86)%\hampoo\bsnotify.exe
%ProgramFiles(x86)%\hampoo\is-bat6m.tmp в %ProgramFiles(x86)%\hampoo\wmfdist.exe
%ProgramFiles(x86)%\hampoo\is-impdb.tmp в %ProgramFiles(x86)%\hampoo\ash_spti.dll
%ProgramFiles(x86)%\hampoo\is-dl7hv.tmp в %ProgramFiles(x86)%\hampoo\audiotools.dll
%ProgramFiles(x86)%\hampoo\is-ej0br.tmp в %ProgramFiles(x86)%\hampoo\burningstudio20.exe
%ProgramFiles(x86)%\hampoo\is-rlasm.tmp в %ProgramFiles(x86)%\hampoo\info.xml
%ProgramFiles(x86)%\hampoo\is-41b7g.tmp в %ProgramFiles(x86)%\hampoo\version.info
%ProgramFiles(x86)%\hampoo\is-ubak4.tmp в %ProgramFiles(x86)%\hampoo\product.xml
%ProgramFiles(x86)%\hampoo\is-eimr9.tmp в %ProgramFiles(x86)%\hampoo\license-en.txt
%ProgramFiles(x86)%\hampoo\is-5tv95.tmp в %ProgramFiles(x86)%\hampoo\license-de.txt
%ProgramFiles(x86)%\hampoo\is-eu9h0.tmp в %ProgramFiles(x86)%\hampoo\setupdownloader.exe
%ProgramFiles(x86)%\hampoo\is-99fh0.tmp в %ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\is-e9apl.tmp в %ProgramFiles(x86)%\hampoo\license-curl.txt
%ProgramFiles(x86)%\hampoo\is-57ujr.tmp в %ProgramFiles(x86)%\hampoo\decmpa.dll
%ProgramFiles(x86)%\hampoo\is-i7u43.tmp в %ProgramFiles(x86)%\hampoo\sqlite3.dll

Подменяет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Сетевая активность

Подключается к

'op###olad.com':80

TCP

Запросы HTTP POST

http://op###olad.com/v2/events

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: '339C1B97-155F-C10C-D4D6-BA03C805EAE4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-tkb06.tmp\<Имя файла>.tmp' /SL5="$130226,10700846,54272,<Полный путь к файлу>"
'%ProgramFiles(x86)%\hampoo\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\hampoo\burningstudio20.exe' <Имя файла>.exe