Trojan.DownLoader10.19134

Добавлен в вирусную базу Dr.Web: 2013-09-24

Описание добавлено: 2013-10-25

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\wgevuekv.exe'
'<SYSTEM32>\octtjnnk.exe'
'<SYSTEM32>\bcwlsyri.exe'
'<SYSTEM32>\tfgzxkus.exe'
'<SYSTEM32>\vavksdfy.exe' /pid=2800
'<SYSTEM32>\wgohjckp.exe'
'<SYSTEM32>\ivtjbelc.exe'
'<SYSTEM32>\tewurtmi.exe'
'<SYSTEM32>\onahmqpg.exe'
'<SYSTEM32>\amzolwlt.exe'
'<SYSTEM32>\nkkoulln.exe'
'<SYSTEM32>\nsmzmodn.exe'
'<SYSTEM32>\lemlylod.exe'
'<SYSTEM32>\osgrgzvm.exe'
'<SYSTEM32>\aarwkjgf.exe'
'<SYSTEM32>\bufuqbkg.exe'
'<SYSTEM32>\xowimfax.exe' /pid=3076
'<SYSTEM32>\gycztsor.exe'
'<SYSTEM32>\xowimfax.exe' /pid=3396
'<SYSTEM32>\nartuisz.exe' /pid=3304
'<SYSTEM32>\ftdeyecb.exe'
'<SYSTEM32>\bmobvxxq.exe' /pid=3236
'<SYSTEM32>\rtbjatvu.exe' /pid=3264
'<SYSTEM32>\vavksdfy.exe' /pid=3072
'<SYSTEM32>\dpdyshqs.exe'
'<SYSTEM32>\uusfrhjz.exe'
'<SYSTEM32>\twdomaoo.exe' /pid=3100
'<SYSTEM32>\pkgwvyre.exe'
'<SYSTEM32>\eqecffgn.exe' /pid=3184
'<SYSTEM32>\itfvfggd.exe'
'<SYSTEM32>\yduhobne.exe'
'<SYSTEM32>\eqecffgn.exe'
'<SYSTEM32>\twdomaoo.exe'
'<SYSTEM32>\ucbjaeqx.exe'
'<SYSTEM32>\kidrpnsz.exe'
'<SYSTEM32>\xowimfax.exe'
'<SYSTEM32>\rtbjatvu.exe'
'<SYSTEM32>\dbymsvus.exe'
'<SYSTEM32>\erpepruq.exe'
'<SYSTEM32>\ajfgyqph.exe'
'<SYSTEM32>\naieekay.exe'
'<SYSTEM32>\lhqmohbx.exe'
'<SYSTEM32>\pednurtp.exe'
'<SYSTEM32>\vavksdfy.exe'
'<SYSTEM32>\ofqkmaoo.exe'
'<SYSTEM32>\fgiqzjvl.exe'
'<SYSTEM32>\djmbrdat.exe'
'<SYSTEM32>\ghgcyaez.exe'
'<SYSTEM32>\cobipafn.exe'
'<SYSTEM32>\kfxtasrx.exe'
'<SYSTEM32>\ijkvmkld.exe'
'<SYSTEM32>\tozpsoho.exe'
'<SYSTEM32>\uvxmatzg.exe'
'<SYSTEM32>\nartuisz.exe'
'<SYSTEM32>\qvvgryxo.exe'
'<SYSTEM32>\bmobvxxq.exe'
'<SYSTEM32>\rmuiezxy.exe'
'<SYSTEM32>\ujwdbdam.exe'
'<SYSTEM32>\iksmoatp.exe'
'<SYSTEM32>\nkhmqtma.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\osgrgzvm.exe
<SYSTEM32>\aarwkjgf.exe
<SYSTEM32>\nsmzmodn.exe
<SYSTEM32>\bcwlsyri.exe
<SYSTEM32>\tewurtmi.exe
<SYSTEM32>\lemlylod.exe
<SYSTEM32>\onahmqpg.exe
<SYSTEM32>\ijkvmkld.exe
<SYSTEM32>\tozpsoho.exe
<SYSTEM32>\cobipafn.exe
<SYSTEM32>\amzolwlt.exe
<SYSTEM32>\nkkoulln.exe
<SYSTEM32>\kfxtasrx.exe
<SYSTEM32>\pkgwvyre.exe
<SYSTEM32>\itfvfggd.exe
<SYSTEM32>\dpdyshqs.exe
<SYSTEM32>\ftdeyecb.exe
<SYSTEM32>\bufuqbkg.exe
<SYSTEM32>\gycztsor.exe
<SYSTEM32>\uusfrhjz.exe
<SYSTEM32>\tfgzxkus.exe
<SYSTEM32>\wgevuekv.exe
<SYSTEM32>\octtjnnk.exe
<SYSTEM32>\kafznjqw.exe
<SYSTEM32>\wgohjckp.exe
<SYSTEM32>\ivtjbelc.exe
<SYSTEM32>\fgiqzjvl.exe
<SYSTEM32>\twdomaoo.exe
<SYSTEM32>\dbymsvus.exe
<SYSTEM32>\pednurtp.exe
<SYSTEM32>\ucbjaeqx.exe
<SYSTEM32>\yduhobne.exe
<SYSTEM32>\eqecffgn.exe
<SYSTEM32>\vavksdfy.exe
<SYSTEM32>\ajfgyqph.exe
<SYSTEM32>\naieekay.exe
<SYSTEM32>\ofqkmaoo.exe
<SYSTEM32>\lhqmohbx.exe
<SYSTEM32>\erpepruq.exe
<SYSTEM32>\ujwdbdam.exe
<SYSTEM32>\iksmoatp.exe
<SYSTEM32>\nkhmqtma.exe
<SYSTEM32>\djmbrdat.exe
<SYSTEM32>\ghgcyaez.exe
<SYSTEM32>\uvxmatzg.exe
<SYSTEM32>\rmuiezxy.exe
<SYSTEM32>\kidrpnsz.exe
<SYSTEM32>\xowimfax.exe
<SYSTEM32>\rtbjatvu.exe
<SYSTEM32>\nartuisz.exe
<SYSTEM32>\qvvgryxo.exe
<SYSTEM32>\bmobvxxq.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\osgrgzvm.exe
<SYSTEM32>\aarwkjgf.exe
<SYSTEM32>\nsmzmodn.exe
<SYSTEM32>\bcwlsyri.exe
<SYSTEM32>\tewurtmi.exe
<SYSTEM32>\lemlylod.exe
<SYSTEM32>\onahmqpg.exe
<SYSTEM32>\ijkvmkld.exe
<SYSTEM32>\tozpsoho.exe
<SYSTEM32>\cobipafn.exe
<SYSTEM32>\amzolwlt.exe
<SYSTEM32>\nkkoulln.exe
<SYSTEM32>\kfxtasrx.exe
<SYSTEM32>\pkgwvyre.exe
<SYSTEM32>\itfvfggd.exe
<SYSTEM32>\dpdyshqs.exe
<SYSTEM32>\ftdeyecb.exe
<SYSTEM32>\bufuqbkg.exe
<SYSTEM32>\gycztsor.exe
<SYSTEM32>\uusfrhjz.exe
<SYSTEM32>\tfgzxkus.exe
<SYSTEM32>\wgevuekv.exe
<SYSTEM32>\octtjnnk.exe
<SYSTEM32>\kafznjqw.exe
<SYSTEM32>\wgohjckp.exe
<SYSTEM32>\ivtjbelc.exe
<SYSTEM32>\eqecffgn.exe
<SYSTEM32>\twdomaoo.exe
<SYSTEM32>\dbymsvus.exe
<SYSTEM32>\rtbjatvu.exe
<SYSTEM32>\ucbjaeqx.exe
<SYSTEM32>\yduhobne.exe
<SYSTEM32>\pednurtp.exe
<SYSTEM32>\erpepruq.exe
<SYSTEM32>\ajfgyqph.exe
<SYSTEM32>\naieekay.exe
<SYSTEM32>\vavksdfy.exe
<SYSTEM32>\ofqkmaoo.exe
<SYSTEM32>\lhqmohbx.exe
<SYSTEM32>\uvxmatzg.exe
<SYSTEM32>\ujwdbdam.exe
<SYSTEM32>\iksmoatp.exe
<SYSTEM32>\fgiqzjvl.exe
<SYSTEM32>\djmbrdat.exe
<SYSTEM32>\ghgcyaez.exe
<SYSTEM32>\nkhmqtma.exe
<SYSTEM32>\bmobvxxq.exe
<SYSTEM32>\kidrpnsz.exe
<SYSTEM32>\xowimfax.exe
<SYSTEM32>\rmuiezxy.exe
<SYSTEM32>\nartuisz.exe
<SYSTEM32>\qvvgryxo.exe

Удаляет следующие файлы:

%TEMP%\~DF2E9D.tmp
%TEMP%\~DF375E.tmp
%TEMP%\~DF7B83.tmp
%TEMP%\~DF6700.tmp
%TEMP%\~DFA928.tmp
%TEMP%\~DFEBEC.tmp
%TEMP%\~DF49BB.tmp
%TEMP%\~DF7DD4.tmp
%TEMP%\~DF9A25.tmp
%TEMP%\~DF82EF.tmp
%TEMP%\~DFFDE5.tmp
%TEMP%\~DF2F57.tmp
%TEMP%\~DF5FBE.tmp
%TEMP%\~DF7A43.tmp
%TEMP%\~DFF50C.tmp
%TEMP%\~DFFF0C.tmp
%TEMP%\~DF2363.tmp
%TEMP%\~DF2E7F.tmp
%TEMP%\~DF72DC.tmp
%TEMP%\~DF9658.tmp
%TEMP%\~DF10F0.tmp
%TEMP%\~DF1B47.tmp
%TEMP%\~DF42A0.tmp
%TEMP%\~DF4ADB.tmp
%TEMP%\~DF8D23.tmp
%TEMP%\~DF2E3.tmp
%TEMP%\~DF4D1E.tmp
%TEMP%\~DF5702.tmp
%TEMP%\~DFD27A.tmp
%TEMP%\~DFBFE9.tmp
%TEMP%\~DF6A.tmp
%TEMP%\~DFB82.tmp
%TEMP%\~DF69AD.tmp
%TEMP%\~DF5663.tmp
%TEMP%\~DFD4A5.tmp
%TEMP%\~DFBF10.tmp
%TEMP%\~DF2058.tmp
%TEMP%\~DFAC5.tmp
%TEMP%\~DF7D8B.tmp
%TEMP%\~DF99ED.tmp
%TEMP%\~DF156C.tmp
%TEMP%\~DF1E89.tmp
%TEMP%\~DF4166.tmp
%TEMP%\~DF4E26.tmp
%TEMP%\~DF91DE.tmp
%TEMP%\~DFEF5A.tmp
%TEMP%\~DF31D5.tmp
%TEMP%\~DF3B15.tmp
%TEMP%\~DF61A8.tmp
%TEMP%\~DF6A4D.tmp
%TEMP%\~DFAC28.tmp
%TEMP%\~DF4D3F.tmp
%TEMP%\~DF8F35.tmp
%TEMP%\~DF98A8.tmp
%TEMP%\~DFC265.tmp
%TEMP%\~DFC8D5.tmp
%TEMP%\~DFAA7.tmp
%TEMP%\~DF68D9.tmp
%TEMP%\~DFAC7E.tmp
%TEMP%\~DFB425.tmp
%TEMP%\~DFD860.tmp
%TEMP%\~DF5E69.tmp
%TEMP%\~DFE3F9.tmp
%TEMP%\~DF7D08.tmp
%TEMP%\~DFC9B5.tmp
%TEMP%\~DFDD43.tmp
%TEMP%\~DF12F1.tmp
%TEMP%\~DFFFB9.tmp
%TEMP%\~DF4EDD.tmp
%TEMP%\~DF91D3.tmp
%TEMP%\~DFEFE6.tmp
%TEMP%\~DFF88C.tmp
%TEMP%\~DF762B.tmp
%TEMP%\~DF6201.tmp
%TEMP%\~DFA26C.tmp
%TEMP%\~DFAD48.tmp
%TEMP%\~DFF6CE.tmp
%TEMP%\~DF40E7.tmp
%TEMP%\~DF85AA.tmp
%TEMP%\~DFC5A8.tmp
%TEMP%\~DFB530.tmp
%TEMP%\~DFF567.tmp
%TEMP%\~DF37B9.tmp
%TEMP%\~DF5CCD.tmp
%TEMP%\~DFDA31.tmp
%TEMP%\~DFE2E5.tmp
%TEMP%\~DFA10.tmp
%TEMP%\~DF115C.tmp
%TEMP%\~DF5258.tmp
%TEMP%\~DF708C.tmp
%TEMP%\~DFC625.tmp
%TEMP%\~DFCFBB.tmp
%TEMP%\~DF1454.tmp
%TEMP%\~DFFF71.tmp
%TEMP%\~DF7B0C.tmp
%TEMP%\~DF8434.tmp
%TEMP%\~DFE226.tmp
%TEMP%\~DF2511.tmp
%TEMP%\~DF69B9.tmp
%TEMP%\~DF54AC.tmp
%TEMP%\~DF9881.tmp
%TEMP%\~DFA02F.tmp

Сетевая активность:

Подключается к:

'bl##.naver.com':80

TCP:

Запросы HTTP GET:

bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################

UDP:

DNS ASK bl##.naver.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: '(null)'

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней