Trojan.DownLoader10.16877

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\qspahmre.exe' /pid=2676
'<SYSTEM32>\kynewxwo.exe'
'<SYSTEM32>\wvjqugmw.exe'
'<SYSTEM32>\dplczocw.exe'
'<SYSTEM32>\kiowbpmj.exe' /pid=2820
'<SYSTEM32>\ggcselps.exe'
'<SYSTEM32>\hgslcgpd.exe' /pid=2940
'<SYSTEM32>\dmmkpwlm.exe'
'<SYSTEM32>\xfqcydfp.exe' /pid=3108
'<SYSTEM32>\dzdbpvwz.exe'
'<SYSTEM32>\pbfaenxk.exe'
'<SYSTEM32>\flqmwnym.exe' /pid=3564
'<SYSTEM32>\esjvdfzf.exe'
'<SYSTEM32>\nysbcpnm.exe' /pid=3528
'<SYSTEM32>\nbumrglk.exe'
'<SYSTEM32>\svvkgcpr.exe' /pid=3956
'<SYSTEM32>\sescyjcy.exe' /pid=3892
'<SYSTEM32>\svvkgcpr.exe' /pid=3856
'<SYSTEM32>\cvllzuvu.exe'
'<SYSTEM32>\xqkrufea.exe'
'<SYSTEM32>\kynewxwo.exe' /pid=4040
'<SYSTEM32>\dcjtgavm.exe'
'<SYSTEM32>\tebryxcm.exe'
'<SYSTEM32>\wvjqugmw.exe' /pid=3960
'<SYSTEM32>\cbyndllq.exe'
'<SYSTEM32>\yqnkvvpn.exe'
'<SYSTEM32>\kdtypybh.exe' /pid=2884
'<SYSTEM32>\eqytojzg.exe' /pid=3060
'<SYSTEM32>\qiwsqrfj.exe' /pid=2464
'<SYSTEM32>\povijzel.exe' /pid=3688
'<SYSTEM32>\iicbalda.exe'
'<SYSTEM32>\kxyyevsh.exe' /pid=3380
'<SYSTEM32>\baspyvdi.exe'
'<SYSTEM32>\cnttvjqe.exe' /pid=2568
'<SYSTEM32>\qvxekrat.exe'
'<SYSTEM32>\iareavhy.exe'
'<SYSTEM32>\ldmarmpc.exe' /pid=3836
'<SYSTEM32>\pzydpgld.exe'
'<SYSTEM32>\hsrcqahs.exe'
'<SYSTEM32>\eoutrwma.exe'
'<SYSTEM32>\nysbcpnm.exe'
'<SYSTEM32>\dmnrrufa.exe'
'<SYSTEM32>\xjpgsscl.exe'
'<SYSTEM32>\yaljvyrn.exe'
'<SYSTEM32>\flqmwnym.exe'
'<SYSTEM32>\povijzel.exe'
'<SYSTEM32>\svvkgcpr.exe'
'<SYSTEM32>\itakxsfz.exe'
'<SYSTEM32>\ripzauau.exe'
'<SYSTEM32>\oidqjrxj.exe'
'<SYSTEM32>\exszkamu.exe'
'<SYSTEM32>\qiwsqrfj.exe'
'<SYSTEM32>\lgpobxhu.exe'
'<SYSTEM32>\kiowbpmj.exe'
'<SYSTEM32>\kdtypybh.exe'
'<SYSTEM32>\qnoijvag.exe'
'<SYSTEM32>\duofaomq.exe'
'<SYSTEM32>\rufogkwy.exe'
'<SYSTEM32>\hgslcgpd.exe'
'<SYSTEM32>\ldmarmpc.exe'
'<SYSTEM32>\nfsidzkr.exe'
'<SYSTEM32>\rufogkwy.exe' /pid=2972
'<SYSTEM32>\kukteytz.exe'
'<SYSTEM32>\exszkamu.exe' /pid=2860
'<SYSTEM32>\oabkttms.exe'
'<SYSTEM32>\oidqjrxj.exe' /pid=3416
'<SYSTEM32>\kxyyevsh.exe'
'<SYSTEM32>\cnttvjqe.exe'
'<SYSTEM32>\wgywnylh.exe'
'<SYSTEM32>\xfqcydfp.exe'
'<SYSTEM32>\afolnyzg.exe'
'<SYSTEM32>\abvwwuiv.exe'
'<SYSTEM32>\xnowvgsi.exe'
'<SYSTEM32>\sescyjcy.exe'
'<SYSTEM32>\hxqhkvep.exe'
'<SYSTEM32>\ainolrun.exe'
'<SYSTEM32>\jpaqdwky.exe'
'<SYSTEM32>\qspahmre.exe'
'<SYSTEM32>\eqytojzg.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\nbumrglk.exe
<SYSTEM32>\hwplfjeh.exe
<SYSTEM32>\esjvdfzf.exe
<SYSTEM32>\pbfaenxk.exe
<SYSTEM32>\dzdbpvwz.exe
<SYSTEM32>\wvjqugmw.exe
<SYSTEM32>\cvllzuvu.exe
<SYSTEM32>\eescrxpj.exe
<SYSTEM32>\nfsidzkr.exe
<SYSTEM32>\oabkttms.exe
<SYSTEM32>\xfqcydfp.exe
<SYSTEM32>\kukteytz.exe
<SYSTEM32>\kxyyevsh.exe
<SYSTEM32>\eoutrwma.exe
<SYSTEM32>\cnttvjqe.exe
<SYSTEM32>\wgywnylh.exe
<SYSTEM32>\dplczocw.exe
<SYSTEM32>\iareavhy.exe
<SYSTEM32>\tebryxcm.exe
<SYSTEM32>\pzydpgld.exe
<SYSTEM32>\hsrcqahs.exe
<SYSTEM32>\cbyndllq.exe
<SYSTEM32>\yqnkvvpn.exe
<SYSTEM32>\gugqrotk.exe
<SYSTEM32>\dcjtgavm.exe
<SYSTEM32>\dmmkpwlm.exe
<SYSTEM32>\ggcselps.exe
<SYSTEM32>\kynewxwo.exe
<SYSTEM32>\kzljrhft.exe
<SYSTEM32>\iicbalda.exe
<SYSTEM32>\qvxekrat.exe
<SYSTEM32>\xqkrufea.exe
<SYSTEM32>\baspyvdi.exe
<SYSTEM32>\hgslcgpd.exe
<SYSTEM32>\qnoijvag.exe
<SYSTEM32>\kdtypybh.exe
<SYSTEM32>\rufogkwy.exe
<SYSTEM32>\xjpgsscl.exe
<SYSTEM32>\yaljvyrn.exe
<SYSTEM32>\duofaomq.exe
<SYSTEM32>\oidqjrxj.exe
<SYSTEM32>\MSWINSCK.ocx
<SYSTEM32>\lgpobxhu.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
<SYSTEM32>\exszkamu.exe
<SYSTEM32>\qiwsqrfj.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
<SYSTEM32>\kiowbpmj.exe
<SYSTEM32>\nysbcpnm.exe
<SYSTEM32>\abvwwuiv.exe
<SYSTEM32>\hxqhkvep.exe
<SYSTEM32>\sescyjcy.exe
<SYSTEM32>\afolnyzg.exe
<SYSTEM32>\ainolrun.exe
<SYSTEM32>\jpaqdwky.exe
<SYSTEM32>\qspahmre.exe
<SYSTEM32>\eqytojzg.exe
<SYSTEM32>\itakxsfz.exe
<SYSTEM32>\ripzauau.exe
<SYSTEM32>\dmnrrufa.exe
<SYSTEM32>\flqmwnym.exe
<SYSTEM32>\ldmarmpc.exe
<SYSTEM32>\xnowvgsi.exe
<SYSTEM32>\povijzel.exe
<SYSTEM32>\svvkgcpr.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\cvllzuvu.exe
<SYSTEM32>\hwplfjeh.exe
<SYSTEM32>\nbumrglk.exe
<SYSTEM32>\eescrxpj.exe
<SYSTEM32>\dplczocw.exe
<SYSTEM32>\wvjqugmw.exe
<SYSTEM32>\dzdbpvwz.exe
<SYSTEM32>\pbfaenxk.exe
<SYSTEM32>\cnttvjqe.exe
<SYSTEM32>\oabkttms.exe
<SYSTEM32>\nfsidzkr.exe
<SYSTEM32>\wgywnylh.exe
<SYSTEM32>\esjvdfzf.exe
<SYSTEM32>\eoutrwma.exe
<SYSTEM32>\kxyyevsh.exe
<SYSTEM32>\kynewxwo.exe
<SYSTEM32>\tebryxcm.exe
<SYSTEM32>\iareavhy.exe
<SYSTEM32>\hsrcqahs.exe
<SYSTEM32>\gugqrotk.exe
<SYSTEM32>\yqnkvvpn.exe
<SYSTEM32>\cbyndllq.exe
<SYSTEM32>\dcjtgavm.exe
<SYSTEM32>\pzydpgld.exe
<SYSTEM32>\ggcselps.exe
<SYSTEM32>\dmmkpwlm.exe
<SYSTEM32>\kzljrhft.exe
<SYSTEM32>\xqkrufea.exe
<SYSTEM32>\qvxekrat.exe
<SYSTEM32>\iicbalda.exe
<SYSTEM32>\baspyvdi.exe
<SYSTEM32>\xjpgsscl.exe
<SYSTEM32>\oidqjrxj.exe
<SYSTEM32>\duofaomq.exe
<SYSTEM32>\yaljvyrn.exe
<SYSTEM32>\flqmwnym.exe
<SYSTEM32>\dmnrrufa.exe
<SYSTEM32>\nysbcpnm.exe
<SYSTEM32>\qnoijvag.exe
<SYSTEM32>\exszkamu.exe
<SYSTEM32>\kiowbpmj.exe
<SYSTEM32>\lgpobxhu.exe
<SYSTEM32>\qiwsqrfj.exe
<SYSTEM32>\hgslcgpd.exe
<SYSTEM32>\rufogkwy.exe
<SYSTEM32>\kdtypybh.exe
<SYSTEM32>\itakxsfz.exe
<SYSTEM32>\eqytojzg.exe
<SYSTEM32>\qspahmre.exe
<SYSTEM32>\hxqhkvep.exe
<SYSTEM32>\ainolrun.exe
<SYSTEM32>\kukteytz.exe
<SYSTEM32>\xfqcydfp.exe
<SYSTEM32>\jpaqdwky.exe
<SYSTEM32>\abvwwuiv.exe
<SYSTEM32>\svvkgcpr.exe
<SYSTEM32>\povijzel.exe
<SYSTEM32>\ripzauau.exe
<SYSTEM32>\ldmarmpc.exe
<SYSTEM32>\afolnyzg.exe
<SYSTEM32>\sescyjcy.exe
<SYSTEM32>\xnowvgsi.exe

Удаляет следующие файлы:

%TEMP%\~DF6A01.tmp
%TEMP%\~DF5926.tmp
%TEMP%\~DFC489.tmp
%TEMP%\~DFDD2C.tmp
%TEMP%\~DFB4D6.tmp
%TEMP%\~DF830A.tmp
%TEMP%\~DFF5F.tmp
%TEMP%\~DFB46F.tmp
%TEMP%\~DF5607.tmp
%TEMP%\~DF915A.tmp
%TEMP%\~DF3A92.tmp
%TEMP%\~DF63D1.tmp
%TEMP%\~DF4055.tmp
%TEMP%\~DF8791.tmp
%TEMP%\~DF9B66.tmp
%TEMP%\~DF2760.tmp
%TEMP%\~DF7303.tmp
%TEMP%\~DF6085.tmp
%TEMP%\~DFCD58.tmp
%TEMP%\~DFE610.tmp
%TEMP%\~DFBDFF.tmp
%TEMP%\~DF8BFA.tmp
%TEMP%\~DF1859.tmp
%TEMP%\~DFCBD8.tmp
%TEMP%\~DFE0A6.tmp
%TEMP%\~DFCDDE.tmp
%TEMP%\~DF3972.tmp
%TEMP%\~DF5216.tmp
%TEMP%\~DF4882.tmp
%TEMP%\~DFF857.tmp
%TEMP%\~DFA342.tmp
%TEMP%\~DFE9D6.tmp
%TEMP%\~DFECBC.tmp
%TEMP%\~DF2251.tmp
%TEMP%\~DFAF27.tmp
%TEMP%\~DFC744.tmp
%TEMP%\~DF545E.tmp
%TEMP%\~DF51A.tmp
%TEMP%\~DFAF63.tmp
%TEMP%\~DF809B.tmp
%TEMP%\~DF543.tmp
%TEMP%\~DFF52F.tmp
%TEMP%\~DF602E.tmp
%TEMP%\~DF78F7.tmp
%TEMP%\~DFA4E.tmp
%TEMP%\~DF1DD8.tmp
%TEMP%\~DF67C6.tmp
%TEMP%\~DFD7F6.tmp
%TEMP%\~DF4D29.tmp
%TEMP%\~DF2F20.tmp
%TEMP%\~DFAB91.tmp
%TEMP%\~DFC315.tmp
%TEMP%\~DF75D5.tmp
%TEMP%\~DF6557.tmp
%TEMP%\~DFD1B0.tmp
%TEMP%\~DF5D17.tmp
%TEMP%\~DFBDDE.tmp
%TEMP%\~DF6CE1.tmp
%TEMP%\~DFFAAC.tmp
%TEMP%\~DF1396.tmp
%TEMP%\~DF670.tmp
%TEMP%\~DFE6B3.tmp
%TEMP%\~DF4238.tmp
%TEMP%\~DFDC7B.tmp
%TEMP%\~DF4973.tmp
%TEMP%\~DF3610.tmp
%TEMP%\~DFEF89.tmp
%TEMP%\~DF9759.tmp
%TEMP%\~DF80D.tmp
%TEMP%\~DF61CB.tmp
%TEMP%\~DFC3E1.tmp
%TEMP%\~DF6573.tmp
%TEMP%\~DFD213.tmp
%TEMP%\~DFD03C.tmp
%TEMP%\~DF780D.tmp
%TEMP%\~DF901F.tmp
%TEMP%\~DF1DD0.tmp
%TEMP%\~DFEA69.tmp
%TEMP%\~DFAFE6.tmp
%TEMP%\~DF413E.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
%TEMP%\~DF421C.tmp
%TEMP%\~DFC3E5.tmp
%TEMP%\~DF5A2C.tmp
%TEMP%\~DFA726.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
%TEMP%\~DFAB4D.tmp
%TEMP%\~DF82D1.tmp
%TEMP%\~DFDFC4.tmp
%TEMP%\~DF5A22.tmp
%TEMP%\~DF8546.tmp
%TEMP%\~DF9E59.tmp
%TEMP%\~DF29AE.tmp
%TEMP%\~DFF868.tmp
%TEMP%\~DF4D09.tmp
%TEMP%\~DF4CCD.tmp
%TEMP%\~DFBA1E.tmp
%TEMP%\~DFA64C.tmp
%TEMP%\~DF7C7F.tmp
%TEMP%\~DFA51B.tmp
%TEMP%\~DF21D3.tmp
%TEMP%\~DFD1CE.tmp
%TEMP%\~DF33A7.tmp
%TEMP%\~DFD5F3.tmp
%TEMP%\~DF42BF.tmp
%TEMP%\~DF30E1.tmp
%TEMP%\~DFE821.tmp
%TEMP%\~DFFFDC.tmp
%TEMP%\~DF8E09.tmp
%TEMP%\~DF5B8A.tmp
%TEMP%\~DF6519.tmp
%TEMP%\~DFD129.tmp
%TEMP%\~DF3DAD.tmp
%TEMP%\~DF2BE7.tmp
%TEMP%\~DFE4FC.tmp
%TEMP%\~DFFD22.tmp
%TEMP%\~DFA74B.tmp
%TEMP%\~DF560B.tmp
%TEMP%\~DFB8CC.tmp
%TEMP%\~DF7D69.tmp
%TEMP%\~DFA37.tmp
%TEMP%\~DF3B66.tmp
%TEMP%\~DF6E29.tmp
%TEMP%\~DF8661.tmp
%TEMP%\~DF13A9.tmp
%TEMP%\~DF22C0.tmp

Сетевая активность:

Подключается к:

'localhost':1114
'localhost':1116
'localhost':1110
'localhost':1112
'localhost':1122
'localhost':1123
'localhost':1118
'localhost':1120
'localhost':1099
'localhost':1101
'localhost':1095
'localhost':1097
'localhost':1106
'localhost':1108
'localhost':1103
'localhost':1104
'localhost':1142
'localhost':1144
'localhost':1139
'localhost':1140
'localhost':1150
'localhost':1152
'localhost':1146
'localhost':1148
'localhost':1129
'localhost':1131
'localhost':1125
'localhost':1127
'localhost':1135
'localhost':1137
'localhost':1132
'localhost':1134
'localhost':1053
'localhost':1055
'localhost':1049
'localhost':1051
'localhost':1061
'localhost':1063
'localhost':1057
'localhost':1059
'localhost':1038
'localhost':1040
'localhost':1035
'pd###.egloos.com':80
'localhost':1046
'localhost':1048
'localhost':1042
'localhost':1044
'localhost':1083
'localhost':1085
'localhost':1080
'localhost':1082
'localhost':1091
'localhost':1093
'localhost':1087
'localhost':1089
'localhost':1068
'localhost':1070
'localhost':1065
'localhost':1066
'localhost':1076
'localhost':1078
'localhost':1072
'localhost':1074

TCP:

Запросы HTTP GET:

pd###.egloos.com/pds/201304/27/64/mswinsck.ocx

UDP:

DNS ASK pd###.egloos.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней