Trojan.DownLoader9.44741

Добавлен в вирусную базу Dr.Web: 2013-07-07

Описание добавлено: 2013-07-08

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\wxkszvji.exe' /pid=3972
'<SYSTEM32>\ympkqrfs.exe'
'%PROGRAM_FILES%\Server.exe' /pid=3612
'<SYSTEM32>\amjvumpq.exe' /pid=4092
'%PROGRAM_FILES%\Server.exe' /pid=4012
'<SYSTEM32>\reyuzict.exe'
'<SYSTEM32>\akdfztja.exe'
'<SYSTEM32>\kjfbeodz.exe'
'<SYSTEM32>\znkwxvqx.exe'
'<SYSTEM32>\qmnrmtfu.exe'
'<SYSTEM32>\rllxniri.exe' /pid=3464
'<SYSTEM32>\fwyxdyvl.exe'
'<SYSTEM32>\qfljwmme.exe'
'<SYSTEM32>\lmmbehmp.exe'
'%PROGRAM_FILES%\Server.exe' /pid=3296
'<SYSTEM32>\puuvlmnp.exe'
'<SYSTEM32>\lqgwerlh.exe'
'%PROGRAM_FILES%\Server.exe' /pid=2548
'<SYSTEM32>\gvnupkvd.exe'
'<SYSTEM32>\rdqycaoq.exe' /pid=3028
'<SYSTEM32>\xgccbuxl.exe'
'<SYSTEM32>\czuoqyqc.exe' /pid=2548
'%PROGRAM_FILES%\Server.exe' /pid=3592
'<SYSTEM32>\iolpjocx.exe' /pid=3204
'<SYSTEM32>\njheilgm.exe'
'<SYSTEM32>\rllxniri.exe'
'<SYSTEM32>\fgmjxcpt.exe'
'<SYSTEM32>\tfomabin.exe'
'<SYSTEM32>\qwkmszlh.exe'
'<SYSTEM32>\ndvemaul.exe'
'<SYSTEM32>\iolpjocx.exe'
'<SYSTEM32>\sfvloqho.exe'
'<SYSTEM32>\kqvwwsir.exe'
'%PROGRAM_FILES%\Server.exe'
'<SYSTEM32>\xvbaznca.exe'
'<SYSTEM32>\tbqufbys.exe'
'<SYSTEM32>\itjyybwu.exe'
'<SYSTEM32>\mpunflih.exe'
'<SYSTEM32>\czuoqyqc.exe'
'<SYSTEM32>\qesvvqao.exe'
'<SYSTEM32>\lhopusao.exe'
'<SYSTEM32>\sfvloqho.exe' /pid=2824
'<SYSTEM32>\rdqycaoq.exe'
'<SYSTEM32>\cewovwpr.exe'
'<SYSTEM32>\amjvumpq.exe'
'<SYSTEM32>\hkxlmqsm.exe'
'<SYSTEM32>\wxkszvji.exe'
'<SYSTEM32>\dgdlzocv.exe'
'<SYSTEM32>\xyzyuvvh.exe'
'%PROGRAM_FILES%\Server.exe' (загружен из сети Интернет)
'<SYSTEM32>\cewovwpr.exe' (загружен из сети Интернет)
'<SYSTEM32>\rllxniri.exe' (загружен из сети Интернет)
'<SYSTEM32>\xyzyuvvh.exe' (загружен из сети Интернет)

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\qmnrmtfu.exe
<SYSTEM32>\fwyxdyvl.exe
<SYSTEM32>\ympkqrfs.exe
<SYSTEM32>\reyuzict.exe
<SYSTEM32>\obzlercx.exe
<SYSTEM32>\akdfztja.exe
<SYSTEM32>\lhopusao.exe
<SYSTEM32>\czuoqyqc.exe
<SYSTEM32>\rdqycaoq.exe
<SYSTEM32>\kjfbeodz.exe
<SYSTEM32>\znkwxvqx.exe
<SYSTEM32>\zwvxcrwu.exe
<SYSTEM32>\puuvlmnp.exe
<SYSTEM32>\lmmbehmp.exe
<SYSTEM32>\lqgwerlh.exe
<SYSTEM32>\gvnupkvd.exe
<SYSTEM32>\qydjrjrt.exe
<SYSTEM32>\vukulxui.exe
<SYSTEM32>\pbgtuyzp.exe
<SYSTEM32>\qfljwmme.exe
<SYSTEM32>\njheilgm.exe
<SYSTEM32>\xgccbuxl.exe
<SYSTEM32>\qesvvqao.exe
<SYSTEM32>\tbqufbys.exe
<SYSTEM32>\itjyybwu.exe
<SYSTEM32>\xvbaznca.exe
<SYSTEM32>\fgmjxcpt.exe
<SYSTEM32>\tfomabin.exe
<SYSTEM32>\sfvloqho.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Server[1].exe
%PROGRAM_FILES%\Server.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Server[1].exe
<SYSTEM32>\kqvwwsir.exe
<SYSTEM32>\amjvumpq.exe
<SYSTEM32>\wxkszvji.exe
<SYSTEM32>\dgdlzocv.exe
<SYSTEM32>\cewovwpr.exe
<SYSTEM32>\xyzyuvvh.exe
<SYSTEM32>\hkxlmqsm.exe
<SYSTEM32>\iolpjocx.exe
<SYSTEM32>\rllxniri.exe
<SYSTEM32>\ndvemaul.exe
<SYSTEM32>\mpunflih.exe
<SYSTEM32>\qwkmszlh.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\ympkqrfs.exe
<SYSTEM32>\qmnrmtfu.exe
<SYSTEM32>\obzlercx.exe
<SYSTEM32>\pbgtuyzp.exe
<SYSTEM32>\reyuzict.exe
<SYSTEM32>\znkwxvqx.exe
<SYSTEM32>\rdqycaoq.exe
<SYSTEM32>\kjfbeodz.exe
<SYSTEM32>\fwyxdyvl.exe
<SYSTEM32>\akdfztja.exe
<SYSTEM32>\zwvxcrwu.exe
<SYSTEM32>\puuvlmnp.exe
<SYSTEM32>\lmmbehmp.exe
<SYSTEM32>\lqgwerlh.exe
<SYSTEM32>\gvnupkvd.exe
<SYSTEM32>\qfljwmme.exe
<SYSTEM32>\vukulxui.exe
<SYSTEM32>\xgccbuxl.exe
<SYSTEM32>\qydjrjrt.exe
<SYSTEM32>\njheilgm.exe
<SYSTEM32>\lhopusao.exe
<SYSTEM32>\fgmjxcpt.exe
<SYSTEM32>\tfomabin.exe
<SYSTEM32>\rllxniri.exe
<SYSTEM32>\ndvemaul.exe
<SYSTEM32>\iolpjocx.exe
<SYSTEM32>\sfvloqho.exe
<SYSTEM32>\kqvwwsir.exe
<SYSTEM32>\itjyybwu.exe
<SYSTEM32>\xvbaznca.exe
<SYSTEM32>\tbqufbys.exe
<SYSTEM32>\xyzyuvvh.exe
<SYSTEM32>\dgdlzocv.exe
<SYSTEM32>\cewovwpr.exe
<SYSTEM32>\czuoqyqc.exe
<SYSTEM32>\qesvvqao.exe
<SYSTEM32>\mpunflih.exe
<SYSTEM32>\qwkmszlh.exe
<SYSTEM32>\hkxlmqsm.exe
<SYSTEM32>\amjvumpq.exe
<SYSTEM32>\wxkszvji.exe

Удаляет следующие файлы:

%TEMP%\~DF49E6.tmp
%TEMP%\~DF8562.tmp
%TEMP%\~DFF23D.tmp
%TEMP%\~DF61CB.tmp
%TEMP%\~DFBE94.tmp
%TEMP%\~DF8353.tmp
%TEMP%\~DF95.tmp
%TEMP%\~DF8D06.tmp
%TEMP%\~DFBCFD.tmp
%TEMP%\~DFF427.tmp
%TEMP%\~DF783D.tmp
%TEMP%\~DF5113.tmp
%TEMP%\~DFC22D.tmp
%TEMP%\~DFE4C.tmp
%TEMP%\~DF8AB3.tmp
%TEMP%\~DFEF8E.tmp
%TEMP%\~DF2A66.tmp
%TEMP%\~DFB6AA.tmp
%TEMP%\~DF2776.tmp
%TEMP%\~DF568.tmp
%TEMP%\~DF3780.tmp
%TEMP%\~DF99BD.tmp
%TEMP%\~DFF567.tmp
%TEMP%\~DF8252.tmp
%TEMP%\~DFD175.tmp
%TEMP%\~DF736.tmp
%TEMP%\~DF1918.tmp
%TEMP%\~DF5155.tmp
%TEMP%\~DFBD86.tmp
%TEMP%\~DF2D71.tmp
%TEMP%\~DFA604.tmp
%TEMP%\~DF5AD2.tmp
%TEMP%\~DF14E0.tmp
%TEMP%\~DF286E.tmp
%TEMP%\~DFB0AD.tmp
%TEMP%\~DFC76B.tmp
%TEMP%\~DF5F22.tmp
%TEMP%\~DF4B90.tmp
%TEMP%\~DFA2F4.tmp
%TEMP%\~DFEDDC.tmp
%TEMP%\~DF9D0F.tmp
%TEMP%\~DFC7C2.tmp
%TEMP%\~DF2984.tmp
%TEMP%\~DF71EA.tmp
%TEMP%\~DF18DD.tmp
%TEMP%\~DFFFC9.tmp
%TEMP%\~DFDC44.tmp
%TEMP%\~DFE61D.tmp
%TEMP%\~DFABAE.tmp
%TEMP%\~DF39D8.tmp
%TEMP%\~DF49F3.tmp
%TEMP%\~DF4B8D.tmp
%TEMP%\~DF7230.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Server[1].exe
%TEMP%\~DFAB28.tmp
%TEMP%\~DFA816.tmp
%TEMP%\~DFA512.tmp
%TEMP%\~DF6D5E.tmp
%TEMP%\~DFF64B.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Server[1].exe
%TEMP%\~DFDE23.tmp
%TEMP%\~DF4EF6.tmp
%TEMP%\~DF26C6.tmp
%TEMP%\~DF5D7F.tmp
%TEMP%\~DFEB34.tmp
%TEMP%\~DF1B23.tmp
%TEMP%\~DFB329.tmp
%TEMP%\~DF7F6A.tmp
%TEMP%\~DF16F5.tmp
%TEMP%\~DF4757.tmp
%TEMP%\~DFD546.tmp
%TEMP%\~DFEC7E.tmp
%TEMP%\~DF6EE6.tmp
%TEMP%\~DF881A.tmp
%TEMP%\~DFDC67.tmp
%TEMP%\~DFA456.tmp
%TEMP%\~DF1605.tmp
%TEMP%\~DFA8F3.tmp
%TEMP%\~DF246A.tmp
%TEMP%\~DF6F8F.tmp
%TEMP%\~DFE11E.tmp
%TEMP%\~DF373D.tmp

Сетевая активность:

Подключается к:

'localhost':1118
'localhost':1115
'localhost':1121
'localhost':1127
'localhost':1124
'localhost':1103
'localhost':1100
'localhost':1106
'localhost':1112
'localhost':1109
'localhost':1130
'localhost':1151
'localhost':1148
'localhost':1154
'localhost':1160
'localhost':1157
'localhost':1136
'localhost':1133
'localhost':1139
'localhost':1145
'localhost':1142
'localhost':1097
'localhost':1052
'localhost':1049
'localhost':1055
'localhost':1061
'localhost':1058
'localhost':1040
'bl##.naver.com':80
'pd###.egloos.com':80
'localhost':1046
'localhost':1043
'localhost':1064
'localhost':1085
'localhost':1082
'localhost':1088
'localhost':1094
'localhost':1091
'localhost':1070
'localhost':1067
'localhost':1073
'localhost':1079
'localhost':1076

TCP:

Запросы HTTP GET:

pd###.egloos.com/pds/201210/20/96/Server.exe
bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################

UDP:

DNS ASK pd###.egloos.com
DNS ASK bl##.naver.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней