Trojan.DownLoader9.10122

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'<SYSTEM32>\bwzkjogs.exe'
'<SYSTEM32>\hxmjhrpd.exe'
'<SYSTEM32>\prbcuuga.exe'
'<SYSTEM32>\bmnqgjkt.exe'
'<SYSTEM32>\dydbgfyn.exe'
'<SYSTEM32>\vpbkmemi.exe'
'<SYSTEM32>\xcqwxvwj.exe'
'<SYSTEM32>\qeuujwig.exe'
'<SYSTEM32>\pahsipjx.exe'
'<SYSTEM32>\kehwhwkp.exe'
'<SYSTEM32>\tcgmpqcl.exe'
'<SYSTEM32>\brtpgazh.exe'
'<SYSTEM32>\ukzbnasa.exe'
'<SYSTEM32>\vgwuomkb.exe'
'<SYSTEM32>\iqjkdryd.exe'
'<SYSTEM32>\bljaqshp.exe'
'<SYSTEM32>\tuwnqzlx.exe'
'<SYSTEM32>\qxoazwyq.exe'
'<SYSTEM32>\vjzhqjab.exe'
'<SYSTEM32>\ihvwypyi.exe'
'<SYSTEM32>\tnxidgjm.exe'
'<SYSTEM32>\icjpyjcw.exe'
'<SYSTEM32>\wwigsaxu.exe'
'<SYSTEM32>\gpngaczb.exe'
'<SYSTEM32>\eouqnirk.exe'
'<SYSTEM32>\jjxigoie.exe'
'<SYSTEM32>\vtoveqff.exe'
'<SYSTEM32>\pzyoiggh.exe'
'<SYSTEM32>\kfnpjtjh.exe'
'<SYSTEM32>\tmjnlssp.exe'
'<SYSTEM32>\kqqpboth.exe'
'<SYSTEM32>\kyhmvnvy.exe'
'<SYSTEM32>\ptnsuzjp.exe'
'<SYSTEM32>\wbrpjnmp.exe'
'<SYSTEM32>\xxdjwtzv.exe'
'<SYSTEM32>\glbnfhwm.exe'
'<SYSTEM32>\hgjneivi.exe'
'<SYSTEM32>\pzpxoypc.exe'
'<SYSTEM32>\vbcfgrfg.exe'
'<SYSTEM32>\sbxjfayv.exe'
'<SYSTEM32>\vtidnydv.exe'
'<SYSTEM32>\caoyumdu.exe'
'<SYSTEM32>\pvcbiivx.exe'
'<SYSTEM32>\mihsyben.exe'
'<SYSTEM32>\isbwzphe.exe'
'<SYSTEM32>\yzxopeho.exe'
'<SYSTEM32>\hwfmhcrk.exe'
'<SYSTEM32>\hlkriafy.exe'
'<SYSTEM32>\vvqlccmp.exe'
'<SYSTEM32>\kwzhqxdb.exe'
'<SYSTEM32>\exhxufce.exe'
'<SYSTEM32>\tvojdlzm.exe'
'<SYSTEM32>\qlzzmgqs.exe'
'<SYSTEM32>\gnpcwydq.exe'
'<SYSTEM32>\dxrgzkai.exe'
'<SYSTEM32>\cbpuapop.exe'
'<SYSTEM32>\lpslmvor.exe'
'<SYSTEM32>\bipvktwv.exe'
'<SYSTEM32>\ccgleaif.exe'
'<SYSTEM32>\jznqfvhk.exe'
'<SYSTEM32>\jhkqefpn.exe'
'<SYSTEM32>\kowrxuko.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\prbcuuga.exe
<SYSTEM32>\hxmjhrpd.exe
<SYSTEM32>\ukzbnasa.exe
<SYSTEM32>\qeuujwig.exe
<SYSTEM32>\xcqwxvwj.exe
<SYSTEM32>\vpbkmemi.exe
<SYSTEM32>\bwzkjogs.exe
<SYSTEM32>\bmnqgjkt.exe
<SYSTEM32>\tcgmpqcl.exe
<SYSTEM32>\kehwhwkp.exe
<SYSTEM32>\qlzzmgqs.exe
<SYSTEM32>\tvojdlzm.exe
<SYSTEM32>\iqjkdryd.exe
<SYSTEM32>\vgwuomkb.exe
<SYSTEM32>\pahsipjx.exe
<SYSTEM32>\brtpgazh.exe
<SYSTEM32>\dydbgfyn.exe
<SYSTEM32>\qxoazwyq.exe
<SYSTEM32>\tuwnqzlx.exe
<SYSTEM32>\gpngaczb.exe
<SYSTEM32>\vjzhqjab.exe
<SYSTEM32>\icjpyjcw.exe
<SYSTEM32>\tnxidgjm.exe
<SYSTEM32>\ihvwypyi.exe
<SYSTEM32>\wwigsaxu.exe
<SYSTEM32>\jjxigoie.exe
<SYSTEM32>\eouqnirk.exe
<SYSTEM32>\bljaqshp.exe
<SYSTEM32>\vtoveqff.exe
<SYSTEM32>\tmjnlssp.exe
<SYSTEM32>\kfnpjtjh.exe
<SYSTEM32>\pzyoiggh.exe
<SYSTEM32>\kqqpboth.exe
<SYSTEM32>\mihsyben.exe
<SYSTEM32>\vbcfgrfg.exe
<SYSTEM32>\yzxopeho.exe
<SYSTEM32>\isbwzphe.exe
<SYSTEM32>\kyhmvnvy.exe
<SYSTEM32>\xxdjwtzv.exe
<SYSTEM32>\wbrpjnmp.exe
<SYSTEM32>\ptnsuzjp.exe
<SYSTEM32>\MSWINSCK.ocx
<SYSTEM32>\caoyumdu.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
<SYSTEM32>\sbxjfayv.exe
<SYSTEM32>\pvcbiivx.exe
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
<SYSTEM32>\vtidnydv.exe
<SYSTEM32>\pzpxoypc.exe
<SYSTEM32>\dxrgzkai.exe
<SYSTEM32>\kwzhqxdb.exe
<SYSTEM32>\jhkqefpn.exe
<SYSTEM32>\jznqfvhk.exe
<SYSTEM32>\exhxufce.exe
<SYSTEM32>\gnpcwydq.exe
<SYSTEM32>\vvqlccmp.exe
<SYSTEM32>\hlkriafy.exe
<SYSTEM32>\hwfmhcrk.exe
<SYSTEM32>\bipvktwv.exe
<SYSTEM32>\hgjneivi.exe
<SYSTEM32>\glbnfhwm.exe
<SYSTEM32>\ccgleaif.exe
<SYSTEM32>\kowrxuko.exe
<SYSTEM32>\lpslmvor.exe
<SYSTEM32>\cbpuapop.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\bwzkjogs.exe
<SYSTEM32>\hxmjhrpd.exe
<SYSTEM32>\prbcuuga.exe
<SYSTEM32>\bmnqgjkt.exe
<SYSTEM32>\dydbgfyn.exe
<SYSTEM32>\vpbkmemi.exe
<SYSTEM32>\xcqwxvwj.exe
<SYSTEM32>\qeuujwig.exe
<SYSTEM32>\pahsipjx.exe
<SYSTEM32>\kehwhwkp.exe
<SYSTEM32>\tcgmpqcl.exe
<SYSTEM32>\brtpgazh.exe
<SYSTEM32>\ukzbnasa.exe
<SYSTEM32>\vgwuomkb.exe
<SYSTEM32>\iqjkdryd.exe
<SYSTEM32>\bljaqshp.exe
<SYSTEM32>\tuwnqzlx.exe
<SYSTEM32>\qxoazwyq.exe
<SYSTEM32>\vjzhqjab.exe
<SYSTEM32>\ihvwypyi.exe
<SYSTEM32>\tnxidgjm.exe
<SYSTEM32>\icjpyjcw.exe
<SYSTEM32>\wwigsaxu.exe
<SYSTEM32>\gpngaczb.exe
<SYSTEM32>\eouqnirk.exe
<SYSTEM32>\jjxigoie.exe
<SYSTEM32>\vtoveqff.exe
<SYSTEM32>\pzyoiggh.exe
<SYSTEM32>\kfnpjtjh.exe
<SYSTEM32>\tmjnlssp.exe
<SYSTEM32>\kqqpboth.exe
<SYSTEM32>\kyhmvnvy.exe
<SYSTEM32>\ptnsuzjp.exe
<SYSTEM32>\wbrpjnmp.exe
<SYSTEM32>\xxdjwtzv.exe
<SYSTEM32>\glbnfhwm.exe
<SYSTEM32>\hgjneivi.exe
<SYSTEM32>\pzpxoypc.exe
<SYSTEM32>\vbcfgrfg.exe
<SYSTEM32>\sbxjfayv.exe
<SYSTEM32>\vtidnydv.exe
<SYSTEM32>\caoyumdu.exe
<SYSTEM32>\pvcbiivx.exe
<SYSTEM32>\mihsyben.exe
<SYSTEM32>\isbwzphe.exe
<SYSTEM32>\yzxopeho.exe
<SYSTEM32>\hwfmhcrk.exe
<SYSTEM32>\hlkriafy.exe
<SYSTEM32>\vvqlccmp.exe
<SYSTEM32>\kwzhqxdb.exe
<SYSTEM32>\exhxufce.exe
<SYSTEM32>\tvojdlzm.exe
<SYSTEM32>\qlzzmgqs.exe
<SYSTEM32>\gnpcwydq.exe
<SYSTEM32>\dxrgzkai.exe
<SYSTEM32>\cbpuapop.exe
<SYSTEM32>\lpslmvor.exe
<SYSTEM32>\bipvktwv.exe
<SYSTEM32>\ccgleaif.exe
<SYSTEM32>\jznqfvhk.exe
<SYSTEM32>\jhkqefpn.exe
<SYSTEM32>\kowrxuko.exe

Удаляет следующие файлы:

%TEMP%\~DF334C.tmp
%TEMP%\~DF8AC.tmp
%TEMP%\~DF8CCB.tmp
%TEMP%\~DFA511.tmp
%TEMP%\~DF767C.tmp
%TEMP%\~DF4B94.tmp
%TEMP%\~DFD9EA.tmp
%TEMP%\~DF61CF.tmp
%TEMP%\~DFA350.tmp
%TEMP%\~DF7864.tmp
%TEMP%\~DF713.tmp
%TEMP%\~DF1E92.tmp
%TEMP%\~DFF07E.tmp
%TEMP%\~DFBB25.tmp
%TEMP%\~DF4A01.tmp
%TEMP%\~DFF164.tmp
%TEMP%\~DF67C7.tmp
%TEMP%\~DF1F4B.tmp
%TEMP%\~DFCAEE.tmp
%TEMP%\~DFF30E.tmp
%TEMP%\~DFB521.tmp
%TEMP%\~DF7F92.tmp
%TEMP%\~DFE3B.tmp
%TEMP%\~DF76FA.tmp
%TEMP%\~DFC282.tmp
%TEMP%\~DF8E77.tmp
%TEMP%\~DF1D1E.tmp
%TEMP%\~DF351E.tmp
%TEMP%\~DF2D9.tmp
%TEMP%\~DFDC15.tmp
%TEMP%\~DF5F25.tmp
%TEMP%\~DFD1EA.tmp
%TEMP%\~DF2CF8.tmp
%TEMP%\~DF290.tmp
%TEMP%\~DF90B7.tmp
%TEMP%\~DFA812.tmp
%TEMP%\~DF7968.tmp
%TEMP%\~DF43EB.tmp
%TEMP%\~DFD31B.tmp
%TEMP%\~DF5BFC.tmp
%TEMP%\~DFA878.tmp
%TEMP%\~DF7515.tmp
%TEMP%\~DF267.tmp
%TEMP%\~DF1A21.tmp
%TEMP%\~DFEAA2.tmp
%TEMP%\~DFC018.tmp
%TEMP%\~DF443C.tmp
%TEMP%\~DFEB60.tmp
%TEMP%\~DF1D8B.tmp
%TEMP%\~DF13D2.tmp
%TEMP%\~DF7AB7.tmp
%TEMP%\~DF94D7.tmp
%TEMP%\~DF6093.tmp
%TEMP%\~DF35D8.tmp
%TEMP%\~DFBA00.tmp
%TEMP%\~DF798A.tmp
%TEMP%\~DFBB7D.tmp
%TEMP%\~DF915B.tmp
%TEMP%\~DF156E.tmp
%TEMP%\~DF2D3D.tmp
%TEMP%\~DFFBF1.tmp
%TEMP%\~DFD386.tmp
%TEMP%\~DF5FB5.tmp
%TEMP%\~DFD929.tmp
%TEMP%\~DF5DCC.tmp
%TEMP%\~DF31D8.tmp
%TEMP%\~DF2318.tmp
%TEMP%\~DF4B86.tmp
%TEMP%\~DFCAC0.tmp
%TEMP%\~DF77DE.tmp
%TEMP%\~DFC137.tmp
%TEMP%\~DF46A0.tmp
%TEMP%\~DFD5F2.tmp
%TEMP%\~DF9F72.tmp
%TEMP%\~DF72E5.tmp
%TEMP%\~DF8AAF.tmp
%TEMP%\~DF1A1D.tmp
%TEMP%\~DFEDCD.tmp
%TEMP%\~DF6808.tmp
%TEMP%\~DF8DDC.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
%TEMP%\~DF67DE.tmp
%TEMP%\~DFE39.tmp
%TEMP%\~DFA622.tmp
%TEMP%\~DF2F74.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
%TEMP%\~DFF5E0.tmp
%TEMP%\~DF8029.tmp
%TEMP%\~DFF2E.tmp
%TEMP%\~DFE2E3.tmp
%TEMP%\~DFB62B.tmp
%TEMP%\~DFCE88.tmp
%TEMP%\~DF5014.tmp
%TEMP%\~DF2733.tmp
%TEMP%\~DF2EC1.tmp
%TEMP%\~DF7C49.tmp
%TEMP%\~DF294.tmp
%TEMP%\~DFD6A8.tmp
%TEMP%\~DFC6DA.tmp
%TEMP%\~DFEF28.tmp
%TEMP%\~DF6DF3.tmp
%TEMP%\~DF192A.tmp
%TEMP%\~DF649C.tmp
%TEMP%\~DFCCA1.tmp
%TEMP%\~DF524C.tmp
%TEMP%\~DF26A9.tmp
%TEMP%\~DF16F3.tmp
%TEMP%\~DF3F13.tmp
%TEMP%\~DFBDF9.tmp
%TEMP%\~DF6AB6.tmp
%TEMP%\~DF1517.tmp
%TEMP%\~DFB46E.tmp
%TEMP%\~DF4415.tmp
%TEMP%\~DF17D5.tmp
%TEMP%\~DFEB3D.tmp
%TEMP%\~DF2E8.tmp
%TEMP%\~DF879B.tmp
%TEMP%\~DF5B89.tmp
%TEMP%\~DF9CD7.tmp
%TEMP%\~DF2D03.tmp
%TEMP%\~DFB1F7.tmp
%TEMP%\~DF859A.tmp
%TEMP%\~DF58E8.tmp
%TEMP%\~DF70C2.tmp
%TEMP%\~DF14.tmp
%TEMP%\~DFC9E0.tmp

Сетевая активность:

Подключается к:

'localhost':1114
'localhost':1116
'localhost':1110
'localhost':1112
'localhost':1122
'localhost':1124
'localhost':1118
'localhost':1120
'localhost':1099
'localhost':1100
'localhost':1095
'localhost':1097
'localhost':1106
'localhost':1108
'localhost':1102
'localhost':1104
'localhost':1146
'localhost':1148
'localhost':1142
'localhost':1144
'localhost':1154
'localhost':1156
'localhost':1150
'localhost':1152
'localhost':1130
'localhost':1132
'localhost':1126
'localhost':1128
'localhost':1138
'localhost':1140
'localhost':1134
'localhost':1136
'localhost':1053
'localhost':1055
'localhost':1050
'localhost':1052
'localhost':1061
'localhost':1063
'localhost':1057
'localhost':1059
'localhost':1038
'localhost':1040
'localhost':1035
'pd###.egloos.com':80
'localhost':1046
'localhost':1048
'localhost':1042
'localhost':1044
'localhost':1084
'localhost':1086
'localhost':1081
'localhost':1083
'localhost':1091
'localhost':1093
'localhost':1088
'localhost':1090
'localhost':1069
'localhost':1071
'localhost':1065
'localhost':1067
'localhost':1077
'localhost':1079
'localhost':1073
'localhost':1075

TCP:

Запросы HTTP GET:

pd###.egloos.com/pds/201304/27/64/mswinsck.ocx

UDP:

DNS ASK pd###.egloos.com

Другое:

Ищет следующие окна:

ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней