Trojan.DownLoader10.24698

Добавлен в вирусную базу Dr.Web: 2013-10-07

Описание добавлено: 2013-10-07

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\ewnapoom.exe'
'<SYSTEM32>\nrwrnwsl.exe' /pid=3336
'<SYSTEM32>\anjyoymb.exe'
'<SYSTEM32>\sgldrwcp.exe'
'<SYSTEM32>\ootppxfj.exe'
'<SYSTEM32>\zhhswlac.exe'
'<SYSTEM32>\stryzlrd.exe'
'<SYSTEM32>\ociovuuy.exe'
'<SYSTEM32>\dvkhgjfb.exe'
'<SYSTEM32>\ufcbsacy.exe' /pid=3108
'<SYSTEM32>\cgdllahh.exe'
'<SYSTEM32>\yhjdljry.exe'
'<SYSTEM32>\ytoyronr.exe' /pid=3592
'<SYSTEM32>\gvqbvqkj.exe'
'<SYSTEM32>\haajbmor.exe' /pid=2600
'<SYSTEM32>\nodjemkc.exe'
'<SYSTEM32>\ufcbsacy.exe' /pid=2836
'<SYSTEM32>\ibmddvxi.exe'
'<SYSTEM32>\ociovuuy.exe' /pid=2944
'<SYSTEM32>\tdglntkt.exe'
'<SYSTEM32>\dwiphupa.exe'
'<SYSTEM32>\xuftscaz.exe'
'<SYSTEM32>\mbxkyxxn.exe' /pid=548
'<SYSTEM32>\nvdcvhmj.exe'
'<SYSTEM32>\zwmixwrh.exe'
'<SYSTEM32>\jbnvgyyb.exe'
'<SYSTEM32>\ypcyhcel.exe'
'<SYSTEM32>\nrwrnwsl.exe'
'<SYSTEM32>\ytoyronr.exe'
'<SYSTEM32>\jazyehnn.exe'
'<SYSTEM32>\plkedomm.exe'
'<SYSTEM32>\ggvdgfej.exe'
'<SYSTEM32>\jsgehhog.exe'
'<SYSTEM32>\mdhkzlhm.exe'
'<SYSTEM32>\kkrhpjag.exe'
'<SYSTEM32>\iiceanns.exe'
'<SYSTEM32>\ufcbsacy.exe'
'<SYSTEM32>\znzfunpm.exe'
'<SYSTEM32>\mbxkyxxn.exe'
'<SYSTEM32>\aodlgpmd.exe'
'<SYSTEM32>\yecccljk.exe'
'<SYSTEM32>\mkofuvbh.exe'
'<SYSTEM32>\haajbmor.exe'
'<SYSTEM32>\rwsoacvi.exe'
'<SYSTEM32>\rrbllstz.exe'
'<SYSTEM32>\wtjucbgo.exe'
'<SYSTEM32>\ofeopnsj.exe'
'<SYSTEM32>\jdgvyivy.exe'
'<SYSTEM32>\rpkesskb.exe'
'<SYSTEM32>\lbavijvz.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\yhjdljry.exe
<SYSTEM32>\stryzlrd.exe
<SYSTEM32>\ociovuuy.exe
<SYSTEM32>\ewnapoom.exe
<SYSTEM32>\anjyoymb.exe
<SYSTEM32>\cgdllahh.exe
<SYSTEM32>\rwsoacvi.exe
<SYSTEM32>\mbxkyxxn.exe
<SYSTEM32>\aodlgpmd.exe
<SYSTEM32>\dvkhgjfb.exe
<SYSTEM32>\mkofuvbh.exe
<SYSTEM32>\haajbmor.exe
<SYSTEM32>\nvdcvhmj.exe
<SYSTEM32>\zwmixwrh.exe
<SYSTEM32>\tdglntkt.exe
<SYSTEM32>\ibmddvxi.exe
<SYSTEM32>\gvqbvqkj.exe
<SYSTEM32>\nodjemkc.exe
<SYSTEM32>\sgldrwcp.exe
<SYSTEM32>\ootppxfj.exe
<SYSTEM32>\zhhswlac.exe
<SYSTEM32>\dwiphupa.exe
<SYSTEM32>\xuftscaz.exe
<SYSTEM32>\ovwhpzgc.exe
<SYSTEM32>\iiceanns.exe
<SYSTEM32>\ufcbsacy.exe
<SYSTEM32>\ggvdgfej.exe
<SYSTEM32>\ypcyhcel.exe
<SYSTEM32>\nrwrnwsl.exe
<SYSTEM32>\kkrhpjag.exe
<SYSTEM32>\MSWINSCK.ocx
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
<SYSTEM32>\jsgehhog.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
<SYSTEM32>\mdhkzlhm.exe
<SYSTEM32>\lbavijvz.exe
<SYSTEM32>\rrbllstz.exe
<SYSTEM32>\wtjucbgo.exe
<SYSTEM32>\yecccljk.exe
<SYSTEM32>\jdgvyivy.exe
<SYSTEM32>\rpkesskb.exe
<SYSTEM32>\jazyehnn.exe
<SYSTEM32>\plkedomm.exe
<SYSTEM32>\jbnvgyyb.exe
<SYSTEM32>\ofeopnsj.exe
<SYSTEM32>\znzfunpm.exe
<SYSTEM32>\ytoyronr.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\cgdllahh.exe
<SYSTEM32>\yhjdljry.exe
<SYSTEM32>\anjyoymb.exe
<SYSTEM32>\zhhswlac.exe
<SYSTEM32>\ewnapoom.exe
<SYSTEM32>\stryzlrd.exe
<SYSTEM32>\haajbmor.exe
<SYSTEM32>\rwsoacvi.exe
<SYSTEM32>\mkofuvbh.exe
<SYSTEM32>\ociovuuy.exe
<SYSTEM32>\dvkhgjfb.exe
<SYSTEM32>\nvdcvhmj.exe
<SYSTEM32>\zwmixwrh.exe
<SYSTEM32>\nodjemkc.exe
<SYSTEM32>\ibmddvxi.exe
<SYSTEM32>\gvqbvqkj.exe
<SYSTEM32>\tdglntkt.exe
<SYSTEM32>\sgldrwcp.exe
<SYSTEM32>\ootppxfj.exe
<SYSTEM32>\ovwhpzgc.exe
<SYSTEM32>\dwiphupa.exe
<SYSTEM32>\xuftscaz.exe
<SYSTEM32>\ypcyhcel.exe
<SYSTEM32>\nrwrnwsl.exe
<SYSTEM32>\jbnvgyyb.exe
<SYSTEM32>\jazyehnn.exe
<SYSTEM32>\plkedomm.exe
<SYSTEM32>\kkrhpjag.exe
<SYSTEM32>\jsgehhog.exe
<SYSTEM32>\mdhkzlhm.exe
<SYSTEM32>\ggvdgfej.exe
<SYSTEM32>\iiceanns.exe
<SYSTEM32>\ufcbsacy.exe
<SYSTEM32>\jdgvyivy.exe
<SYSTEM32>\rpkesskb.exe
<SYSTEM32>\yecccljk.exe
<SYSTEM32>\mbxkyxxn.exe
<SYSTEM32>\aodlgpmd.exe
<SYSTEM32>\lbavijvz.exe
<SYSTEM32>\znzfunpm.exe
<SYSTEM32>\ytoyronr.exe
<SYSTEM32>\ofeopnsj.exe
<SYSTEM32>\rrbllstz.exe
<SYSTEM32>\wtjucbgo.exe

Удаляет следующие файлы:

%TEMP%\~DF9AD2.tmp
%TEMP%\~DFB622.tmp
%TEMP%\~DF253C.tmp
%TEMP%\~DFB3F9.tmp
%TEMP%\~DF920.tmp
%TEMP%\~DFC18.tmp
%TEMP%\~DFE97.tmp
%TEMP%\~DF4BCA.tmp
%TEMP%\~DF9946.tmp
%TEMP%\~DF2763.tmp
%TEMP%\~DF9D7F.tmp
%TEMP%\~DFB3C1.tmp
%TEMP%\~DFFF1F.tmp
%TEMP%\~DF6220.tmp
%TEMP%\~DF1C28.tmp
%TEMP%\~DF1800.tmp
%TEMP%\~DFDDB0.tmp
%TEMP%\~DF2269.tmp
%TEMP%\~DF96A8.tmp
%TEMP%\~DFB6EF.tmp
%TEMP%\~DF6FF9.tmp
%TEMP%\~DFAFAF.tmp
%TEMP%\~DF7FAD.tmp
%TEMP%\~DFC06D.tmp
%TEMP%\~DFB48F.tmp
%TEMP%\~DF43B7.tmp
%TEMP%\~DFD2F4.tmp
%TEMP%\~DFCDF2.tmp
%TEMP%\~DF7BDD.tmp
%TEMP%\~DF7EF7.tmp
%TEMP%\~DFD44E.tmp
%TEMP%\~DF625B.tmp
%TEMP%\~DF8F90.tmp
%TEMP%\~DFECFB.tmp
%TEMP%\~DFA340.tmp
%TEMP%\~DFBF58.tmp
%TEMP%\~DF2CB5.tmp
%TEMP%\~DFBC1B.tmp
%TEMP%\~DF32BB.tmp
%TEMP%\~DF1451.tmp
%TEMP%\~DF3E9F.tmp
%TEMP%\~DF5C90.tmp
%TEMP%\~DFEBE4.tmp
%TEMP%\~DF5776.tmp
%TEMP%\~DFA5BF.tmp
%TEMP%\~DFEB88.tmp
%TEMP%\~DF6388.tmp
%TEMP%\~DFB23C.tmp
%TEMP%\~DF434D.tmp
%TEMP%\~DF7C13.tmp
%TEMP%\~DF7B68.tmp
%TEMP%\~DF84A0.tmp
%TEMP%\~DFD203.tmp
%TEMP%\~DF62BB.tmp
%TEMP%\~DFD2BF.tmp
%TEMP%\~DFEACB.tmp
%TEMP%\~DF368F.tmp
%TEMP%\~DF9BFB.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
%TEMP%\~DFB505.tmp
%TEMP%\~DFD59.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
%TEMP%\~DFD442.tmp
%TEMP%\~DFCB23.tmp
%TEMP%\~DF5C56.tmp
%TEMP%\~DFED07.tmp
%TEMP%\~DF1D73.tmp
%TEMP%\~DFAD34.tmp
%TEMP%\~DF5891.tmp
%TEMP%\~DF9D13.tmp
%TEMP%\~DFE213.tmp
%TEMP%\~DF7046.tmp
%TEMP%\~DFE829.tmp
%TEMP%\~DFC907.tmp
%TEMP%\~DFA040.tmp
%TEMP%\~DF87A5.tmp
%TEMP%\~DF5ED4.tmp
%TEMP%\~DFC598.tmp
%TEMP%\~DF5A20.tmp
%TEMP%\~DF8F4C.tmp
%TEMP%\~DF242A.tmp
%TEMP%\~DF875A.tmp
%TEMP%\~DF4140.tmp
%TEMP%\~DF66B9.tmp
%TEMP%\~DFFE50.tmp
%TEMP%\~DF3E.tmp
%TEMP%\~DF56F3.tmp
%TEMP%\~DFE630.tmp
%TEMP%\~DF698D.tmp
%TEMP%\~DF6F03.tmp

Сетевая активность:

Подключается к:

'localhost':1089
'localhost':1087
'localhost':1091
'localhost':1095
'localhost':1093
'localhost':1085
'localhost':1078
'localhost':1076
'localhost':1080
'localhost':1083
'localhost':1081
'localhost':1097
'localhost':1113
'localhost':1111
'localhost':1115
'localhost':1119
'localhost':1117
'localhost':1109
'localhost':1101
'localhost':1099
'localhost':1103
'localhost':1107
'localhost':1105
'localhost':1048
'localhost':1046
'localhost':1050
'localhost':1054
'localhost':1052
'localhost':1044
'pd###.egloos.com':80
'localhost':1035
'localhost':1038
'localhost':1042
'localhost':1040
'localhost':1056
'localhost':1070
'localhost':1068
'localhost':1072
'localhost':1075
'localhost':1073
'localhost':1066
'localhost':1059
'localhost':1057
'localhost':1060
'localhost':1064
'localhost':1062

TCP:

Запросы HTTP GET:

pd###.egloos.com/pds/201304/27/64/mswinsck.ocx

UDP:

DNS ASK pd###.egloos.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней