Trojan.Zadved.1671

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\is-a1j3v.tmp\<Имя файла>.tmp
%TEMP%\is-t7vgs.tmp\_isetup\_setup64.tmp
%TEMP%\is-t7vgs.tmp\_isetup\_shfoldr.dll
%TEMP%\is-t7vgs.tmp\_isetup\_iscrypt.dll
%ProgramFiles(x86)%\hampoo\is-1610g.tmp
%ProgramFiles(x86)%\hampoo\is-5927v.tmp
%ProgramFiles(x86)%\hampoo\is-iphbg.tmp
%ProgramFiles(x86)%\hampoo\is-uohkg.tmp
%ProgramFiles(x86)%\hampoo\is-4i2ll.tmp
%ProgramFiles(x86)%\hampoo\is-r6e0l.tmp
%ProgramFiles(x86)%\hampoo\is-s0ti0.tmp
%ProgramFiles(x86)%\hampoo\is-3f5bu.tmp
%ProgramFiles(x86)%\hampoo\is-aimtu.tmp
%ProgramFiles(x86)%\hampoo\is-mab92.tmp
%ProgramFiles(x86)%\hampoo\is-rn7n0.tmp
%ProgramFiles(x86)%\hampoo\is-t7fbv.tmp
%ProgramFiles(x86)%\hampoo\is-1ut13.tmp
%ProgramFiles(x86)%\hampoo\is-37e7t.tmp
%ProgramFiles(x86)%\hampoo\is-nocs9.tmp
%ProgramFiles(x86)%\hampoo\is-46otb.tmp
%ProgramFiles(x86)%\hampoo\is-1hrat.tmp
%ProgramFiles(x86)%\hampoo\is-29env.tmp
%ProgramFiles(x86)%\hampoo\is-ghs7i.tmp
%ProgramFiles(x86)%\hampoo\is-be5sp.tmp
%ProgramFiles(x86)%\hampoo\is-l5tb4.tmp
%ProgramFiles(x86)%\hampoo\is-5ru80.tmp
%ProgramFiles(x86)%\hampoo\is-e452k.tmp
%ProgramFiles(x86)%\hampoo\is-g1qr2.tmp
%ProgramFiles(x86)%\hampoo\is-fohle.tmp
%ProgramFiles(x86)%\hampoo\is-attqm.tmp
%ProgramFiles(x86)%\hampoo\is-h54r6.tmp
%ProgramFiles(x86)%\hampoo\is-sl2st.tmp
%ProgramFiles(x86)%\hampoo\is-2781m.tmp
%ProgramFiles(x86)%\hampoo\is-9ik6s.tmp
%ProgramFiles(x86)%\hampoo\is-rjl31.tmp
%ProgramFiles(x86)%\hampoo\is-2blr2.tmp
%ProgramFiles(x86)%\hampoo\is-ulfbi.tmp
%ProgramFiles(x86)%\hampoo\is-2v3n8.tmp
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\hampoo\hampoo burning studio 20\hampoo burning studio 20 .lnk
%ProgramFiles(x86)%\hampoo\unins000.dat

Удаляет файлы, которые сам же создал

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Перемещает следующие файлы

%ProgramFiles(x86)%\hampoo\is-1610g.tmp в %ProgramFiles(x86)%\hampoo\unins000.exe
%ProgramFiles(x86)%\hampoo\is-5927v.tmp в %ProgramFiles(x86)%\hampoo\license-curl.txt
%ProgramFiles(x86)%\hampoo\is-iphbg.tmp в %ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\is-uohkg.tmp в %ProgramFiles(x86)%\hampoo\setupdownloader.exe
%ProgramFiles(x86)%\hampoo\is-4i2ll.tmp в %ProgramFiles(x86)%\hampoo\license-de.txt
%ProgramFiles(x86)%\hampoo\is-r6e0l.tmp в %ProgramFiles(x86)%\hampoo\license-en.txt
%ProgramFiles(x86)%\hampoo\is-s0ti0.tmp в %ProgramFiles(x86)%\hampoo\product.xml
%ProgramFiles(x86)%\hampoo\is-3f5bu.tmp в %ProgramFiles(x86)%\hampoo\version.info
%ProgramFiles(x86)%\hampoo\is-aimtu.tmp в %ProgramFiles(x86)%\hampoo\info.xml
%ProgramFiles(x86)%\hampoo\is-mab92.tmp в %ProgramFiles(x86)%\hampoo\burningstudio20.exe
%ProgramFiles(x86)%\hampoo\is-rn7n0.tmp в %ProgramFiles(x86)%\hampoo\audiotools.dll
%ProgramFiles(x86)%\hampoo\is-t7fbv.tmp в %ProgramFiles(x86)%\hampoo\decmpa.dll
%ProgramFiles(x86)%\hampoo\is-1ut13.tmp в %ProgramFiles(x86)%\hampoo\ash_spti.dll
%ProgramFiles(x86)%\hampoo\is-37e7t.tmp в %ProgramFiles(x86)%\hampoo\bsnotify.exe
%ProgramFiles(x86)%\hampoo\is-nocs9.tmp в %ProgramFiles(x86)%\hampoo\ash_amf.dll
%ProgramFiles(x86)%\hampoo\is-46otb.tmp в %ProgramFiles(x86)%\hampoo\ash_m2tsmux.dll
%ProgramFiles(x86)%\hampoo\is-1hrat.tmp в %ProgramFiles(x86)%\hampoo\peru.interop.dll
%ProgramFiles(x86)%\hampoo\is-29env.tmp в %ProgramFiles(x86)%\hampoo\burningstudioprogress.exe
%ProgramFiles(x86)%\hampoo\is-ghs7i.tmp в %ProgramFiles(x86)%\hampoo\ashdriversetup.exe
%ProgramFiles(x86)%\hampoo\is-be5sp.tmp в %ProgramFiles(x86)%\hampoo\_startrescueexplorer.exe
%ProgramFiles(x86)%\hampoo\is-l5tb4.tmp в %ProgramFiles(x86)%\hampoo\mediainfo.dll
%ProgramFiles(x86)%\hampoo\is-5ru80.tmp в %ProgramFiles(x86)%\hampoo\avutil_ash-55.dll
%ProgramFiles(x86)%\hampoo\is-e452k.tmp в %ProgramFiles(x86)%\hampoo\swscale_ash-4.dll
%ProgramFiles(x86)%\hampoo\is-g1qr2.tmp в %ProgramFiles(x86)%\hampoo\swresample_ash-2.dll
%ProgramFiles(x86)%\hampoo\is-fohle.tmp в %ProgramFiles(x86)%\hampoo\avfilter_ash-6.dll
%ProgramFiles(x86)%\hampoo\is-attqm.tmp в %ProgramFiles(x86)%\hampoo\d3dx9_43.dll
%ProgramFiles(x86)%\hampoo\is-h54r6.tmp в %ProgramFiles(x86)%\hampoo\irrlicht.dll
%ProgramFiles(x86)%\hampoo\is-sl2st.tmp в %ProgramFiles(x86)%\hampoo\gdiplus.dll
%ProgramFiles(x86)%\hampoo\is-9ik6s.tmp в %ProgramFiles(x86)%\hampoo\license-fi.txt
%ProgramFiles(x86)%\hampoo\is-2blr2.tmp в %ProgramFiles(x86)%\hampoo\startrescueexplorer.ico
%ProgramFiles(x86)%\hampoo\is-ulfbi.tmp в %ProgramFiles(x86)%\hampoo\wmfdist.exe
%ProgramFiles(x86)%\hampoo\is-2v3n8.tmp в %ProgramFiles(x86)%\hampoo\sqlite3.dll

Подменяет следующие файлы

%ProgramFiles(x86)%\hampoo\ash_libcurl.dll
%ProgramFiles(x86)%\hampoo\license-curl.txt

Сетевая активность

TCP

Другие

'15#.#01.1.91':443

UDP

DNS ASK op###olad.com

Другое

Ищет следующие окна

ClassName: '339C1B97-155F-C10C-D4D6-BA03C805EAE4' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\is-a1j3v.tmp\<Имя файла>.tmp' /SL5="$902CC,13041621,346624,<Полный путь к файлу>"
'%ProgramFiles(x86)%\hampoo\wmfdist.exe' /Q:A /R:N
'%ProgramFiles(x86)%\hampoo\burningstudio20.exe' <Имя файла>.exe