Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\oreans32] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\idgqoyup.exe'
- '<SYSTEM32>\tcduhalw.exe'
- '<SYSTEM32>\ndlbiiym.exe'
- '<SYSTEM32>\zbvuwhdh.exe'
- '<SYSTEM32>\byckcyzp.exe'
- '<SYSTEM32>\svlagawb.exe'
- '<SYSTEM32>\qxexsoaa.exe'
- '<SYSTEM32>\ofqkmaoo.exe'
- '<SYSTEM32>\egqfnxys.exe'
- '<SYSTEM32>\pdxfmdzt.exe'
- '<SYSTEM32>\luslvffm.exe'
- '<SYSTEM32>\grfixnlm.exe'
- '<SYSTEM32>\hbarnpkg.exe'
- '<SYSTEM32>\qnpwlpka.exe'
- '<SYSTEM32>\tuqaxndu.exe'
- '<SYSTEM32>\iizgttzv.exe'
- '<SYSTEM32>\btxucnra.exe'
- '<SYSTEM32>\gxokpbgi.exe'
- '<SYSTEM32>\voexgcig.exe'
- '<SYSTEM32>\pqzwpdnk.exe'
- '<SYSTEM32>\emswnbok.exe'
- '<SYSTEM32>\mvrqnfvr.exe'
- '<SYSTEM32>\yjgzbqqg.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'pediy06' WindowName: '(null)'
- ClassName: 'GBDYLLO' WindowName: '(null)'
- ClassName: 'OLLYDBG' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ndlbiiym.exe
- <SYSTEM32>\idgqoyup.exe
- <SYSTEM32>\tcduhalw.exe
- <SYSTEM32>\grfixnlm.exe
- <SYSTEM32>\zbvuwhdh.exe
- <SYSTEM32>\byckcyzp.exe
- <SYSTEM32>\egqfnxys.exe
- <SYSTEM32>\qxexsoaa.exe
- <SYSTEM32>\ofqkmaoo.exe
- <SYSTEM32>\svlagawb.exe
- <SYSTEM32>\pdxfmdzt.exe
- <SYSTEM32>\luslvffm.exe
- <SYSTEM32>\pqzwpdnk.exe
- <SYSTEM32>\btxucnra.exe
- <SYSTEM32>\tuqaxndu.exe
- <SYSTEM32>\hbarnpkg.exe
- <DRIVERS>\oreans32.sys
- <SYSTEM32>\iizgttzv.exe
- <SYSTEM32>\yjgzbqqg.exe
- <SYSTEM32>\emswnbok.exe
- <SYSTEM32>\voexgcig.exe
- <SYSTEM32>\qnpwlpka.exe
- <SYSTEM32>\gxokpbgi.exe
- <SYSTEM32>\mvrqnfvr.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\idgqoyup.exe
- <SYSTEM32>\tcduhalw.exe
- <SYSTEM32>\ndlbiiym.exe
- <SYSTEM32>\zbvuwhdh.exe
- <SYSTEM32>\byckcyzp.exe
- <SYSTEM32>\svlagawb.exe
- <SYSTEM32>\qxexsoaa.exe
- <SYSTEM32>\ofqkmaoo.exe
- <SYSTEM32>\egqfnxys.exe
- <SYSTEM32>\pdxfmdzt.exe
- <SYSTEM32>\luslvffm.exe
- <SYSTEM32>\grfixnlm.exe
- <SYSTEM32>\hbarnpkg.exe
- <SYSTEM32>\qnpwlpka.exe
- <SYSTEM32>\tuqaxndu.exe
- <SYSTEM32>\iizgttzv.exe
- <SYSTEM32>\btxucnra.exe
- <SYSTEM32>\gxokpbgi.exe
- <SYSTEM32>\voexgcig.exe
- <SYSTEM32>\pqzwpdnk.exe
- <SYSTEM32>\emswnbok.exe
- <SYSTEM32>\mvrqnfvr.exe
- <SYSTEM32>\yjgzbqqg.exe
Удаляет следующие файлы:
- %TEMP%\~DF1132.tmp
- %TEMP%\~DFBDF8.tmp
- %TEMP%\~DF472E.tmp
- %TEMP%\~DF9475.tmp
- %TEMP%\~DF65E3.tmp
- %TEMP%\~DF87E1.tmp
- %TEMP%\~DFAEBB.tmp
- %TEMP%\~DFB1FA.tmp
- %TEMP%\~DF1E3E.tmp
- %TEMP%\~DF6584.tmp
- %TEMP%\~DF3806.tmp
- %TEMP%\~DFCD03.tmp
- %TEMP%\~DF7C11.tmp
- %TEMP%\~DFC7C2.tmp
- %TEMP%\~DF9C2F.tmp
- %TEMP%\~DF4627.tmp
- %TEMP%\~DF7BE2.tmp
- %TEMP%\~DF2CC8.tmp
- %TEMP%\~DF1D76.tmp
- %TEMP%\~DF2085.tmp
- %TEMP%\~DF679B.tmp
- %TEMP%\~DFDC5A.tmp
- %TEMP%\~DF8A75.tmp
- %TEMP%\~DFFC5A.tmp
- %TEMP%\~DF8BFC.tmp
- %TEMP%\~DFF7F1.tmp
- %TEMP%\~DF47A6.tmp
- %TEMP%\~DF4BDB.tmp
- %TEMP%\~DF5AC3.tmp
- %TEMP%\~DFB169.tmp
- %TEMP%\~DF4A44.tmp
- %TEMP%\~DFED25.tmp
- %TEMP%\~DF3C8F.tmp
- %TEMP%\~DFE5D.tmp
- %TEMP%\~DF9B47.tmp
- %TEMP%\~DF127A.tmp
- %TEMP%\~DFA2E5.tmp
- %TEMP%\~DFF23.tmp
- %TEMP%\~DF6382.tmp
- %TEMP%\~DF6265.tmp
- %TEMP%\~DFA653.tmp
- %TEMP%\~DF731.tmp
- %TEMP%\~DF96F9.tmp
- %TEMP%\~DF334.tmp
- %TEMP%\~DF5302.tmp
- %TEMP%\~DF5708.tmp
Сетевая активность:
Подключается к:
- 'bl##.naver.com':80
TCP:
Запросы HTTP GET:
- bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
UDP:
- DNS ASK bl##.naver.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
