Trojan.DownLoader13.34912

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'amigo' = ''

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\SCHTASKS.exe' /Create /SC DAILY /TN chrome5 /RL HIGHEST /ST 00:30 /TR "\"%PROGRAM_FILES%\Microsoft Data\<Имя вируса>.exe\" /reinstall=1" /f
'<SYSTEM32>\SCHTASKS.exe' /create /tn chrome5_logon /XML %TEMP%\Folder_Data_RC_ADDS\xml\task.xml /f

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
chrome.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon16.png
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon128.png
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\iARVrsyYnMwYeqd.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon48.png
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon32.png
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon19.png
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\hVHoKzjUjcOTw.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\CB28BBA345A3B4270B9
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options_ui.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options_css_compiled.css
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\ePYbqWuKAWBgD.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\bzgQpJgxZOBrlFT.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\background.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\CB28BBA345A3B4270B9
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options_ui.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options_css_compiled.css
<SYSTEM32>\Tasks\chrome5
%APPDATA%\Roaming\58A1C6467845833C0CA2
<SYSTEM32>\Tasks\chrome5_logon
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options_compiled.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\main_compiled.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\jQuWVsccTBXAKSI.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\injection.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options.html
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\nQJRoxHJJPy.js
%APPDATA%\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\manifest.json
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\background.js
%TEMP%\Folder_Data_RC_ADDS\xml\op_wid.xml
%TEMP%\Folder_Data_RC_ADDS\xml\task.xml
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\hVHoKzjUjcOTw.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\ePYbqWuKAWBgD.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\bzgQpJgxZOBrlFT.js
%TEMP%\Folder_Data_RC_ADDS\xml\op_data.xml
%TEMP%\Folder_Data_RC_ADDS\adds\addon.crx
%TEMP%\Folder_Data_RC_ADDS\adds\addon.xpi
%PROGRAM_FILES%\Microsoft Data\<Имя вируса>.exe
%TEMP%\Folder_Data_RC_ADDS\js\chr_pref.json
%TEMP%\Folder_Data_RC_ADDS\js\ff_set.json
%TEMP%\Folder_Data_RC_ADDS\adds\addon.oex
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\manifest.json
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\main_compiled.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\jQuWVsccTBXAKSI.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options_compiled.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\options.html
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\nQJRoxHJJPy.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\injection.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon16.png
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon128.png
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\iARVrsyYnMwYeqd.js
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon48.png
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon32.png
<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf\1.0.3\icons\icon19.png