Trojan.DownLoader9.30371

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\bwhagrfp.exe'
'<SYSTEM32>\dxthtzaj.exe' /pid=3636
'<SYSTEM32>\dxthtzaj.exe' /pid=3540
'<SYSTEM32>\qzgdoxgi.exe'
'<SYSTEM32>\aanydylj.exe'
'<SYSTEM32>\gcwzucum.exe'
'<SYSTEM32>\hsqjawig.exe' /pid=3808
'<SYSTEM32>\bkbekdls.exe'
'<SYSTEM32>\ueozbytm.exe'
'<SYSTEM32>\uwjuqxgu.exe' /pid=3732
'<SYSTEM32>\reaebzkw.exe'
'<SYSTEM32>\fzbsuhgp.exe'
'<SYSTEM32>\lsoxjaia.exe' /pid=3172
'<SYSTEM32>\sjggxhxk.exe'
'<SYSTEM32>\bitbpmoy.exe'
'<SYSTEM32>\myeixzgj.exe'
'<SYSTEM32>\tziypeov.exe'
'<SYSTEM32>\tgrfckqj.exe' /pid=3312
'<SYSTEM32>\xbszlnux.exe' /pid=3356
'<SYSTEM32>\zsldwgfc.exe'
'<SYSTEM32>\tmjwaphb.exe'
'<SYSTEM32>\voueazyq.exe' /pid=2676
'<SYSTEM32>\wwearnjg.exe'
'<SYSTEM32>\bwcreanh.exe' /pid=2540
'<SYSTEM32>\voueazyq.exe' /pid=1500
'<SYSTEM32>\qrwnrxur.exe'
'<SYSTEM32>\spnzywms.exe' /pid=216
'<SYSTEM32>\ndlbpwbc.exe' /pid=2896
'<SYSTEM32>\ejghjmhy.exe'
'<SYSTEM32>\pmvoorgq.exe'
'<SYSTEM32>\wjzdjbqa.exe'
'<SYSTEM32>\dlgcydoi.exe'
'<SYSTEM32>\iiqvxlnn.exe'
'<SYSTEM32>\ygcgiads.exe' /pid=3824
'<SYSTEM32>\acomschm.exe'
'<SYSTEM32>\bwcreanh.exe' /pid=1396
'<SYSTEM32>\ftupjvak.exe'
'<SYSTEM32>\uzureivr.exe'
'<SYSTEM32>\eehmqsce.exe' /pid=2592
'<SYSTEM32>\hyhwhtbv.exe'
'<SYSTEM32>\lplwfjxo.exe' /pid=3088
'<SYSTEM32>\dnrpxqqg.exe'
'<SYSTEM32>\qcbgxgnu.exe'
'<SYSTEM32>\uzurtwgq.exe'
'<SYSTEM32>\tgrfckqj.exe'
'<SYSTEM32>\qmnrbaxp.exe'
'<SYSTEM32>\wmzubdpt.exe'
'<SYSTEM32>\uwjuqxgu.exe'
'<SYSTEM32>\ldlnokum.exe'
'<SYSTEM32>\ssfgegon.exe'
'<SYSTEM32>\dxthtzaj.exe'
'<SYSTEM32>\jhqeprun.exe'
'<SYSTEM32>\wjmebvrt.exe'
'<SYSTEM32>\ndlbpwbc.exe'
'C:\Server.exe'
'<SYSTEM32>\lplwfjxo.exe'
'<SYSTEM32>\ekenhmwh.exe'
'<SYSTEM32>\sxohnply.exe'
'<SYSTEM32>\xbszlnux.exe'
'<SYSTEM32>\sushzrli.exe'
'<SYSTEM32>\lsoxjaia.exe'
'<SYSTEM32>\hgkhdcnh.exe'
'<SYSTEM32>\voueazyq.exe'
'<SYSTEM32>\whmyytsj.exe'
'<SYSTEM32>\inmuqxhe.exe'
'<SYSTEM32>\bwcreanh.exe'
'<SYSTEM32>\bwkroxjm.exe'
'<SYSTEM32>\spnzywms.exe'
'<SYSTEM32>\gezpplwu.exe'
'<SYSTEM32>\bufoxjgn.exe'
'<SYSTEM32>\fzqhgjgz.exe'
'<SYSTEM32>\jqawuuvs.exe'
'<SYSTEM32>\ygcgiads.exe'
'<SYSTEM32>\oyvdfjzh.exe'
'<SYSTEM32>\yxgrgxls.exe'
'<SYSTEM32>\hsqjawig.exe'
'<SYSTEM32>\xroawiev.exe'
'<SYSTEM32>\jrjffghs.exe'
'<SYSTEM32>\eehmqsce.exe'
'<SYSTEM32>\jtiwtkwg.exe'
'<SYSTEM32>\pagkycan.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\bitbpmoy.exe
<SYSTEM32>\reaebzkw.exe
<SYSTEM32>\spnzywms.exe
<SYSTEM32>\sjggxhxk.exe
<SYSTEM32>\fzbsuhgp.exe
<SYSTEM32>\tziypeov.exe
<SYSTEM32>\qzgdoxgi.exe
<SYSTEM32>\zsldwgfc.exe
<SYSTEM32>\myeixzgj.exe
<SYSTEM32>\whmyytsj.exe
<SYSTEM32>\hgkhdcnh.exe
<SYSTEM32>\inmuqxhe.exe
<SYSTEM32>\bwcreanh.exe
<SYSTEM32>\voueazyq.exe
<SYSTEM32>\gezpplwu.exe
<SYSTEM32>\bwkroxjm.exe
<SYSTEM32>\bufoxjgn.exe
<SYSTEM32>\fzqhgjgz.exe
<SYSTEM32>\ftupjvak.exe
<SYSTEM32>\wwearnjg.exe
<SYSTEM32>\hyhwhtbv.exe
<SYSTEM32>\uzureivr.exe
<SYSTEM32>\tmjwaphb.exe
<SYSTEM32>\qrwnrxur.exe
<SYSTEM32>\jkfikfep.exe
<SYSTEM32>\ejghjmhy.exe
<SYSTEM32>\pmvoorgq.exe
<SYSTEM32>\ueozbytm.exe
<SYSTEM32>\bkbekdls.exe
<SYSTEM32>\aanydylj.exe
<SYSTEM32>\bwhagrfp.exe
<SYSTEM32>\gcwzucum.exe
<SYSTEM32>\wjzdjbqa.exe
<SYSTEM32>\dlgcydoi.exe
<SYSTEM32>\acomschm.exe
<SYSTEM32>\iiqvxlnn.exe
<SYSTEM32>\sushzrli.exe
<SYSTEM32>\lsoxjaia.exe
<SYSTEM32>\jhqeprun.exe
<SYSTEM32>\wjmebvrt.exe
<SYSTEM32>\xbszlnux.exe
<SYSTEM32>\tgrfckqj.exe
<SYSTEM32>\qmnrbaxp.exe
<SYSTEM32>\ekenhmwh.exe
<SYSTEM32>\sxohnply.exe
C:\Server.exe
<Текущая директория>\conf.dat
<SYSTEM32>\uolsn.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[1]
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\luxwish[1]
<SYSTEM32>\ndlbpwbc.exe
<SYSTEM32>\MSWINSCK.ocx
<SYSTEM32>\lplwfjxo.exe
<SYSTEM32>\jqawuuvs.exe
<SYSTEM32>\ygcgiads.exe
<SYSTEM32>\hsqjawig.exe
<SYSTEM32>\oyvdfjzh.exe
<SYSTEM32>\jtiwtkwg.exe
<SYSTEM32>\xroawiev.exe
<SYSTEM32>\jrjffghs.exe
<SYSTEM32>\pagkycan.exe
<SYSTEM32>\eehmqsce.exe
<SYSTEM32>\qcbgxgnu.exe
<SYSTEM32>\ssfgegon.exe
<SYSTEM32>\uzurtwgq.exe
<SYSTEM32>\dnrpxqqg.exe
<SYSTEM32>\dxthtzaj.exe
<SYSTEM32>\uwjuqxgu.exe
<SYSTEM32>\yxgrgxls.exe
<SYSTEM32>\ldlnokum.exe
<SYSTEM32>\wmzubdpt.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\zsldwgfc.exe
<SYSTEM32>\myeixzgj.exe
<SYSTEM32>\reaebzkw.exe
<SYSTEM32>\fzbsuhgp.exe
<SYSTEM32>\aanydylj.exe
<SYSTEM32>\bwhagrfp.exe
<SYSTEM32>\tziypeov.exe
<SYSTEM32>\qzgdoxgi.exe
<SYSTEM32>\fzqhgjgz.exe
<SYSTEM32>\gezpplwu.exe
<SYSTEM32>\voueazyq.exe
<SYSTEM32>\bufoxjgn.exe
<SYSTEM32>\sjggxhxk.exe
<SYSTEM32>\bitbpmoy.exe
<SYSTEM32>\bwkroxjm.exe
<SYSTEM32>\spnzywms.exe
<SYSTEM32>\wwearnjg.exe
<SYSTEM32>\tmjwaphb.exe
<SYSTEM32>\uzureivr.exe
<SYSTEM32>\ftupjvak.exe
<SYSTEM32>\qrwnrxur.exe
<SYSTEM32>\jkfikfep.exe
<SYSTEM32>\ejghjmhy.exe
<SYSTEM32>\pmvoorgq.exe
<SYSTEM32>\gcwzucum.exe
<SYSTEM32>\acomschm.exe
<SYSTEM32>\ueozbytm.exe
<SYSTEM32>\bkbekdls.exe
<SYSTEM32>\dlgcydoi.exe
<SYSTEM32>\hyhwhtbv.exe
<SYSTEM32>\iiqvxlnn.exe
<SYSTEM32>\wjzdjbqa.exe
<SYSTEM32>\hgkhdcnh.exe
<SYSTEM32>\qmnrbaxp.exe
<SYSTEM32>\uzurtwgq.exe
<SYSTEM32>\sxohnply.exe
<SYSTEM32>\tgrfckqj.exe
<SYSTEM32>\ssfgegon.exe
<SYSTEM32>\dxthtzaj.exe
<SYSTEM32>\dnrpxqqg.exe
<SYSTEM32>\qcbgxgnu.exe
<SYSTEM32>\jhqeprun.exe
<SYSTEM32>\wjmebvrt.exe
<SYSTEM32>\lplwfjxo.exe
<SYSTEM32>\ndlbpwbc.exe
<SYSTEM32>\xbszlnux.exe
<SYSTEM32>\ekenhmwh.exe
<SYSTEM32>\sushzrli.exe
<SYSTEM32>\lsoxjaia.exe
<SYSTEM32>\eehmqsce.exe
<SYSTEM32>\xroawiev.exe
<SYSTEM32>\jtiwtkwg.exe
<SYSTEM32>\pagkycan.exe
<SYSTEM32>\bwcreanh.exe
<SYSTEM32>\whmyytsj.exe
<SYSTEM32>\jrjffghs.exe
<SYSTEM32>\inmuqxhe.exe
<SYSTEM32>\uwjuqxgu.exe
<SYSTEM32>\yxgrgxls.exe
<SYSTEM32>\ldlnokum.exe
<SYSTEM32>\wmzubdpt.exe
<SYSTEM32>\jqawuuvs.exe
<SYSTEM32>\ygcgiads.exe
<SYSTEM32>\hsqjawig.exe
<SYSTEM32>\oyvdfjzh.exe

Удаляет следующие файлы:

%TEMP%\~DF3A03.tmp
%TEMP%\~DF1826.tmp
%TEMP%\~DF85A1.tmp
%TEMP%\~DFCD02.tmp
%TEMP%\~DFA385.tmp
%TEMP%\~DF8111.tmp
%TEMP%\~DFEE48.tmp
%TEMP%\~DF6405.tmp
%TEMP%\~DF67D3.tmp
%TEMP%\~DF466A.tmp
%TEMP%\~DFB31B.tmp
%TEMP%\~DFFB49.tmp
%TEMP%\~DFD0DC.tmp
%TEMP%\~DFAF58.tmp
%TEMP%\~DF1CC3.tmp
%TEMP%\~DF360A.tmp
%TEMP%\~DFDD83.tmp
%TEMP%\~DFBB43.tmp
%TEMP%\~DF281F.tmp
%TEMP%\~DF7089.tmp
%TEMP%\~DF450C.tmp
%TEMP%\~DF23CF.tmp
%TEMP%\~DF9297.tmp
%TEMP%\~DF749.tmp
%TEMP%\~DFB61.tmp
%TEMP%\~DFE99D.tmp
%TEMP%\~DF5683.tmp
%TEMP%\~DF9E8F.tmp
%TEMP%\~DF7399.tmp
%TEMP%\~DF52DF.tmp
%TEMP%\~DFBF24.tmp
%TEMP%\~DF9285.tmp
%TEMP%\~DFF2AD.tmp
%TEMP%\~DFD183.tmp
%TEMP%\~DF3D4F.tmp
%TEMP%\~DF8673.tmp
%TEMP%\~DF5B7F.tmp
%TEMP%\~DF3B50.tmp
%TEMP%\~DFA6FA.tmp
%TEMP%\~DF1DAD.tmp
%TEMP%\~DF2126.tmp
%TEMP%\~DFFF41.tmp
%TEMP%\~DF6CFB.tmp
%TEMP%\~DFB481.tmp
%TEMP%\~DF8A18.tmp
%TEMP%\~DF6878.tmp
%TEMP%\~DFD5E8.tmp
%TEMP%\~DFEF39.tmp
%TEMP%\~DF9632.tmp
%TEMP%\~DF7465.tmp
%TEMP%\~DFE13B.tmp
%TEMP%\~DF2900.tmp
%TEMP%\~DF94.tmp
%TEMP%\~DFDDE1.tmp
%TEMP%\~DF4A78.tmp
%TEMP%\~DFC068.tmp
%TEMP%\~DFC528.tmp
%TEMP%\~DFA30D.tmp
%TEMP%\~DFFC5.tmp
%TEMP%\~DF57EA.tmp
%TEMP%\~DF2DCB.tmp
%TEMP%\~DFBD9.tmp
%TEMP%\~DF7885.tmp
%TEMP%\~DFA014.tmp
%TEMP%\~DFDEFB.tmp
%TEMP%\~DFEBDC.tmp
%TEMP%\~DF414F.tmp
%TEMP%\~DFD548.tmp
%TEMP%\~DFA90F.tmp
%TEMP%\~DF52A3.tmp
%TEMP%\~DF55FB.tmp
%TEMP%\~DFCEA8.tmp
%TEMP%\~DF3B6B.tmp
%TEMP%\~DF1AF6.tmp
%TEMP%\~DFF00E.tmp
%TEMP%\~DF3765.tmp
%TEMP%\~DFA3F5.tmp
%TEMP%\~DF838F.tmp
%TEMP%\~DF19D0.tmp
%TEMP%\~DF5D97.tmp
%TEMP%\~DF626A.tmp
%TEMP%\~DFE79F.tmp
%TEMP%\~DFBA96.tmp
%TEMP%\~DF5681.tmp
%TEMP%\~DF80B4.tmp
%TEMP%\~DFCFE3.tmp
%TEMP%\~DFD475.tmp
%TEMP%\~DFA0EB.tmp
%TEMP%\~DF84E4.tmp
%TEMP%\~DF3A00.tmp
%TEMP%\~DFF0E6.tmp
%TEMP%\~DF7C7A.tmp
%TEMP%\~DF657A.tmp
%TEMP%\~DF1189.tmp
%TEMP%\~DF875E.tmp
%TEMP%\~DF5BB0.tmp
%TEMP%\~DFC6D5.tmp
%TEMP%\~DFA7A2.tmp
%TEMP%\~DF7B23.tmp
%TEMP%\~DFC289.tmp
%TEMP%\~DF2F37.tmp
%TEMP%\~DFEF5.tmp
%TEMP%\~DF1250.tmp
%TEMP%\~DF8CA7.tmp
%TEMP%\~DFF8A2.tmp
%TEMP%\~DFD8AA.tmp
%TEMP%\~DFACE5.tmp
%TEMP%\~DFF590.tmp
%TEMP%\~DF5FD3.tmp
%TEMP%\~DF41C1.tmp
%TEMP%\~DFE479.tmp
%TEMP%\~DFFD86.tmp
%TEMP%\~DF6A0F.tmp
%TEMP%\~DF4956.tmp
%TEMP%\~DF1E64.tmp
%TEMP%\~DF65F6.tmp
%TEMP%\~DFD275.tmp
%TEMP%\~DFB230.tmp
%TEMP%\~DFB72C.tmp
%TEMP%\~DF2B36.tmp
%TEMP%\~DF9889.tmp
%TEMP%\~DF7737.tmp
%TEMP%\~DF4E70.tmp
%TEMP%\~DF94B0.tmp
%TEMP%\~DF188.tmp
%TEMP%\~DFDFE2.tmp

Сетевая активность:

Подключается к:

'localhost':1084
'localhost':1085
'localhost':1082
'localhost':1083
'localhost':1088
'localhost':1089
'localhost':1086
'localhost':1087
'localhost':1081
'localhost':1075
'localhost':1076
'localhost':1073
'localhost':1074
'localhost':1079
'localhost':1080
'localhost':1077
'localhost':1078
'localhost':1101
'localhost':1102
'localhost':1099
'localhost':1100
'localhost':1105
'localhost':1106
'localhost':1103
'localhost':1104
'localhost':1098
'localhost':1092
'localhost':1093
'localhost':1090
'localhost':1091
'localhost':1096
'localhost':1097
'localhost':1094
'localhost':1095
'localhost':1072
'localhost':1049
'localhost':1050
'localhost':1047
'localhost':1048
'localhost':1053
'localhost':1054
'ju####.cafe24.com':80
'localhost':1052
'localhost':1046
'cf#####9.uf.daum.net':80
'lu##ish.org':80
'localhost':1036
'localhost':1038
'localhost':1044
'localhost':1045
'localhost':1042
'localhost':1043
'localhost':1066
'localhost':1067
'localhost':1064
'localhost':1065
'localhost':1070
'localhost':1071
'localhost':1068
'localhost':1069
'localhost':1063
'localhost':1057
'localhost':1058
'localhost':1055
'localhost':1056
'localhost':1061
'localhost':1062
'localhost':1059
'localhost':1060

TCP:

Запросы HTTP GET:

lu##ish.org/
cf#####9.uf.daum.net/attach/1759CB3B5124F217143044

Запросы HTTP POST:

ju####.cafe24.com/rmtsvr/reg.php

UDP:

DNS ASK ju####.cafe24.com
DNS ASK lu##ish.org
DNS ASK cf#####9.uf.daum.net

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'AutoHotkey' WindowName: '<Полный путь к вирусу>'
ClassName: 'Indicator' WindowName: ''
ClassName: '' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней