Trojan.DownLoader7.17972

Добавлен в вирусную базу Dr.Web: 2012-11-05

Описание добавлено: 2012-11-05

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

<SYSTEM32>\gvtqxacm.exe
<SYSTEM32>\bzdefyfn.exe
<SYSTEM32>\oftbwhpa.exe
<SYSTEM32>\vuzleebg.exe
<SYSTEM32>\pqbtobeq.exe
<SYSTEM32>\zkfhqglh.exe
<SYSTEM32>\hboooumk.exe
<SYSTEM32>\cthflqjj.exe
<SYSTEM32>\kshtqjpb.exe
<SYSTEM32>\ofeuescq.exe
<SYSTEM32>\gmphyfsz.exe
<SYSTEM32>\guznwdbq.exe
<SYSTEM32>\wiqcqjak.exe
<SYSTEM32>\caircbsb.exe
<SYSTEM32>\cydklvna.exe
<SYSTEM32>\rqxlbycv.exe
<SYSTEM32>\niripsuu.exe
<SYSTEM32>\sptaaupp.exe
<SYSTEM32>\qpkpybth.exe
<SYSTEM32>\hvdkzzoy.exe
<SYSTEM32>\ggxcqsgh.exe
<SYSTEM32>\lmqcobrm.exe
<SYSTEM32>\vbqudwzv.exe
<SYSTEM32>\hcjyelsb.exe
<SYSTEM32>\hjcclpxx.exe
<SYSTEM32>\okevrfmu.exe
<SYSTEM32>\juzbouco.exe
<SYSTEM32>\ezhtchtt.exe
<SYSTEM32>\ehkihrrh.exe
<SYSTEM32>\ovczrfmw.exe
<SYSTEM32>\vvepitxf.exe
<SYSTEM32>\kwlxqqnb.exe
<SYSTEM32>\tzmcsico.exe
<SYSTEM32>\gukihtwc.exe
<SYSTEM32>\vsdlvcxx.exe
<SYSTEM32>\besnfdlr.exe
<SYSTEM32>\ovxvcdrh.exe
<SYSTEM32>\awqvvutl.exe
<SYSTEM32>\mhcuufbh.exe
<SYSTEM32>\kqlnewex.exe
<SYSTEM32>\eskddqcd.exe
<SYSTEM32>\gakbjuyw.exe
<SYSTEM32>\qyjbtwdp.exe
<SYSTEM32>\ehlwkkas.exe
<SYSTEM32>\imfgridy.exe
<SYSTEM32>\yhsajlgr.exe
<SYSTEM32>\jsmbtqhm.exe
<SYSTEM32>\vnvwyoiw.exe
<SYSTEM32>\apymfivw.exe
<SYSTEM32>\tlegybnm.exe
<SYSTEM32>\ndvurtrs.exe
<SYSTEM32>\huwxqwcu.exe
<SYSTEM32>\kjtnwuyp.exe

Ищет следующие окна с целью

обнаружения утилит для анализа:

ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'RegmonClass' WindowName: ''
ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
ClassName: 'GBDYLLO' WindowName: ''
ClassName: 'OLLYDBG' WindowName: ''
ClassName: 'FilemonClass' WindowName: ''
ClassName: 'pediy06' WindowName: ''

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\bzdefyfn.exe
<SYSTEM32>\oftbwhpa.exe
<SYSTEM32>\hboooumk.exe
<SYSTEM32>\pqbtobeq.exe
<SYSTEM32>\zkfhqglh.exe
<SYSTEM32>\gvtqxacm.exe
C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
<SYSTEM32>\cthflqjj.exe
<SYSTEM32>\kshtqjpb.exe
<SYSTEM32>\ofeuescq.exe
<SYSTEM32>\gmphyfsz.exe
<SYSTEM32>\guznwdbq.exe
<SYSTEM32>\wiqcqjak.exe
<SYSTEM32>\vuzleebg.exe
<SYSTEM32>\caircbsb.exe
<SYSTEM32>\cydklvna.exe
<SYSTEM32>\rqxlbycv.exe
<SYSTEM32>\niripsuu.exe
<SYSTEM32>\sptaaupp.exe
<SYSTEM32>\qpkpybth.exe
<SYSTEM32>\hvdkzzoy.exe
<SYSTEM32>\ggxcqsgh.exe
<SYSTEM32>\lmqcobrm.exe
<SYSTEM32>\vbqudwzv.exe
<SYSTEM32>\hcjyelsb.exe
<SYSTEM32>\hjcclpxx.exe
<SYSTEM32>\okevrfmu.exe
<SYSTEM32>\juzbouco.exe
<SYSTEM32>\ehkihrrh.exe
<SYSTEM32>\ovczrfmw.exe
<SYSTEM32>\gukihtwc.exe
<SYSTEM32>\kwlxqqnb.exe
<SYSTEM32>\tzmcsico.exe
<SYSTEM32>\ezhtchtt.exe
<SYSTEM32>\awqvvutl.exe
<SYSTEM32>\besnfdlr.exe
<SYSTEM32>\ovxvcdrh.exe
<SYSTEM32>\mhcuufbh.exe
<SYSTEM32>\kqlnewex.exe
<SYSTEM32>\vsdlvcxx.exe
<SYSTEM32>\vvepitxf.exe
<SYSTEM32>\eskddqcd.exe
<SYSTEM32>\gakbjuyw.exe
<SYSTEM32>\qyjbtwdp.exe
<SYSTEM32>\ehlwkkas.exe
<SYSTEM32>\imfgridy.exe
<SYSTEM32>\yhsajlgr.exe
<SYSTEM32>\jsmbtqhm.exe
<SYSTEM32>\vnvwyoiw.exe
<SYSTEM32>\apymfivw.exe
<SYSTEM32>\tlegybnm.exe
<SYSTEM32>\ndvurtrs.exe
<SYSTEM32>\huwxqwcu.exe
<SYSTEM32>\kjtnwuyp.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\gvtqxacm.exe
<SYSTEM32>\bzdefyfn.exe
<SYSTEM32>\oftbwhpa.exe
<SYSTEM32>\vuzleebg.exe
<SYSTEM32>\pqbtobeq.exe
<SYSTEM32>\zkfhqglh.exe
<SYSTEM32>\hboooumk.exe
<SYSTEM32>\cthflqjj.exe
<SYSTEM32>\kshtqjpb.exe
<SYSTEM32>\ofeuescq.exe
<SYSTEM32>\gmphyfsz.exe
<SYSTEM32>\guznwdbq.exe
<SYSTEM32>\wiqcqjak.exe
<SYSTEM32>\caircbsb.exe
<SYSTEM32>\cydklvna.exe
<SYSTEM32>\rqxlbycv.exe
<SYSTEM32>\niripsuu.exe
<SYSTEM32>\sptaaupp.exe
<SYSTEM32>\qpkpybth.exe
<SYSTEM32>\hvdkzzoy.exe
<SYSTEM32>\ggxcqsgh.exe
<SYSTEM32>\lmqcobrm.exe
<SYSTEM32>\vbqudwzv.exe
<SYSTEM32>\hcjyelsb.exe
<SYSTEM32>\hjcclpxx.exe
<SYSTEM32>\okevrfmu.exe
<SYSTEM32>\juzbouco.exe
<SYSTEM32>\ezhtchtt.exe
<SYSTEM32>\ehkihrrh.exe
<SYSTEM32>\ovczrfmw.exe
<SYSTEM32>\vvepitxf.exe
<SYSTEM32>\kwlxqqnb.exe
<SYSTEM32>\tzmcsico.exe
<SYSTEM32>\gukihtwc.exe
<SYSTEM32>\vsdlvcxx.exe
<SYSTEM32>\besnfdlr.exe
<SYSTEM32>\ovxvcdrh.exe
<SYSTEM32>\awqvvutl.exe
<SYSTEM32>\mhcuufbh.exe
<SYSTEM32>\kqlnewex.exe
<SYSTEM32>\eskddqcd.exe
<SYSTEM32>\gakbjuyw.exe
<SYSTEM32>\qyjbtwdp.exe
<SYSTEM32>\ehlwkkas.exe
<SYSTEM32>\imfgridy.exe
<SYSTEM32>\yhsajlgr.exe
<SYSTEM32>\jsmbtqhm.exe
<SYSTEM32>\vnvwyoiw.exe
<SYSTEM32>\apymfivw.exe
<SYSTEM32>\tlegybnm.exe
<SYSTEM32>\ndvurtrs.exe
<SYSTEM32>\huwxqwcu.exe
<SYSTEM32>\kjtnwuyp.exe

Удаляет следующие файлы:

%TEMP%\~DF20A9.tmp
%TEMP%\~DF8CF8.tmp
%TEMP%\~DF6AEA.tmp
%TEMP%\~DFDA7D.tmp
%TEMP%\~DFCDEE.tmp
%TEMP%\~DF2D15.tmp
%TEMP%\~DF7D3.tmp
%TEMP%\~DF7580.tmp
%TEMP%\~DF5202.tmp
%TEMP%\~DFD878.tmp
%TEMP%\~DFB541.tmp
%TEMP%\~DF28B9.tmp
%TEMP%\~DF839A.tmp
%TEMP%\~DF57AA.tmp
%TEMP%\~DF395A.tmp
%TEMP%\~DFA37E.tmp
%TEMP%\~DF98A6.tmp
%TEMP%\~DF3A0.tmp
%TEMP%\~DFE368.tmp
%TEMP%\~DF412B.tmp
%TEMP%\~DF2260.tmp
%TEMP%\~DF8E94.tmp
%TEMP%\~DF850E.tmp
%TEMP%\~DFEB49.tmp
%TEMP%\~DFCFD2.tmp
%TEMP%\~DFBE66.tmp
%TEMP%\~DF3C0D.tmp
%TEMP%\~DFA8E1.tmp
%TEMP%\~DF865B.tmp
%TEMP%\~DFA7D.tmp
%TEMP%\~DFF17B.tmp
%TEMP%\~DF5BFE.tmp
%TEMP%\~DF236A.tmp
%TEMP%\~DF8F3E.tmp
%TEMP%\~DF6DFD.tmp
%TEMP%\~DFF97F.tmp
%TEMP%\~DFD8CF.tmp
%TEMP%\~DF468D.tmp
%TEMP%\~DF9EDC.tmp
%TEMP%\~DF5A8E.tmp
%TEMP%\~DF6296.tmp
%TEMP%\~DFA75E.tmp
%TEMP%\~DF9CBD.tmp
%TEMP%\~DF1230.tmp
%TEMP%\~DF1703.tmp
%TEMP%\~DF6EB3.tmp
%TEMP%\~DF541D.tmp
%TEMP%\~DFBF20.tmp
%TEMP%\~DFB71B.tmp
%TEMP%\~DF1F13.tmp
%TEMP%\~DF1C6.tmp
%TEMP%\~DFBC2A.tmp
%TEMP%\~DF2DC3.tmp
%TEMP%\~DF9C1C.tmp
%TEMP%\~DF781D.tmp
%TEMP%\~DFAD.tmp
%TEMP%\~DFDBB5.tmp
%TEMP%\~DF51F4.tmp
%TEMP%\~DF1480.tmp
%TEMP%\~DF8292.tmp
%TEMP%\~DF5F19.tmp
%TEMP%\~DFE63D.tmp
%TEMP%\~DFC230.tmp
%TEMP%\~DF387A.tmp
%TEMP%\~DF9174.tmp
%TEMP%\~DF7123.tmp
%TEMP%\~DF604E.tmp
%TEMP%\~DFB78C.tmp
%TEMP%\~DFAB51.tmp
%TEMP%\~DF2B57.tmp
%TEMP%\~DFD84.tmp
%TEMP%\~DF6B08.tmp
%TEMP%\~DF474A.tmp
%TEMP%\~DFB52C.tmp
%TEMP%\~DFAA1E.tmp
%TEMP%\~DF1892.tmp
%TEMP%\~DFF3F7.tmp
%TEMP%\~DFCCAF.tmp
%TEMP%\~DF1472.tmp
%TEMP%\~DF8AD5.tmp
%TEMP%\~DF66DD.tmp
%TEMP%\~DFEDEE.tmp
%TEMP%\~DFCA30.tmp
%TEMP%\~DF3597.tmp
%TEMP%\~DFFBA2.tmp
%TEMP%\~DF7278.tmp
%TEMP%\~DF4E4C.tmp
%TEMP%\~DFD4F7.tmp
%TEMP%\~DFB162.tmp
%TEMP%\~DF1F19.tmp
%TEMP%\~DF7F9A.tmp
%TEMP%\~DF6997.tmp
%TEMP%\~DF45DB.tmp
%TEMP%\~DFB41A.tmp
%TEMP%\~DFA946.tmp
%TEMP%\~DF1F2B.tmp
%TEMP%\~DFFBE3.tmp
%TEMP%\~DF50DA.tmp
%TEMP%\~DF2CA5.tmp
%TEMP%\~DF9BD3.tmp
%TEMP%\~DF9019.tmp
%TEMP%\~DF67A.tmp
%TEMP%\~DFE2C9.tmp

Сетевая активность:

Подключается к:

'bl##.naver.com':80

TCP:

Запросы HTTP GET:

bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################

UDP:

DNS ASK bl##.naver.com

Другое:

Ищет следующие окна:

ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: '18467-41' WindowName: ''

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней