Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- "%TEMP%\etwlvyq.exe" (загружен из сети Интернет)
- "%TEMP%\mdgl.exe" (загружен из сети Интернет)
- "%TEMP%\bwqdi.exe" (загружен из сети Интернет)
- "%TEMP%\quhwtu.exe" (загружен из сети Интернет)
- "%TEMP%\lgra.exe" (загружен из сети Интернет)
- "%TEMP%\kopntyn.exe" (загружен из сети Интернет)
- "%TEMP%\mwbw.exe" (загружен из сети Интернет)
- "%TEMP%\dqeimjky.exe" (загружен из сети Интернет)
- "%TEMP%\750234914" (загружен из сети Интернет)
- "%TEMP%\njvq.exe" (загружен из сети Интернет)
- "%TEMP%\lwemqjy.exe" (загружен из сети Интернет)
- "%TEMP%\veltedw.exe" (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\fwelcx[1].php
- %TEMP%\etwlvyq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\hypwhc[1].php
- %TEMP%\bwqdi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\imwaic[1].php
- %TEMP%\mdgl.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\rvqxfn[1].php
- %TEMP%\quhwtu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\txrzxs[1].php
- %TEMP%\kopntyn.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\oriqbjdp[1].php
- %TEMP%\lgra.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\fjnvpk[1].php
- %TEMP%\dqeimjky.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\kkemu[1].php
- %TEMP%\mwbw.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\hyfahpxiq[1].php
- %TEMP%\750234914
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\fwevpovto[1].php
- %TEMP%\lwemqjy.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\wzdcjrp[1].php
- %TEMP%\njvq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\yptozgozmu[1].php
- %TEMP%\veltedw.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\gnemtrzxsn[1].php
Удаляет следующие файлы:
- <SYSTEM32>\svchost.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ag##fee.com':80
TCP:
Запросы HTTP GET:
- ag##fee.com/ufwnltbz/hypwhc.php?ad########
- ag##fee.com/ufwnltbz/fwelcx.php?ad########
- ag##fee.com/ufwnltbz/imwaic.php?ad########
- ag##fee.com/ufwnltbz/txrzxs.php?ad###############################################
- ag##fee.com/ufwnltbz/rvqxfn.php?ad########
- ag##fee.com/ufwnltbz/oriqbjdp.php?ad########
- ag##fee.com/ufwnltbz/fjnvpk.php?ad########
- ag##fee.com/ufwnltbz/kkemu.php?ad########
- ag##fee.com/ufwnltbz/fwevpovto.php?ad########
- ag##fee.com/ufwnltbz/hyfahpxiq.php?ad########
- ag##fee.com/ufwnltbz/wzdcjrp.php?ad########
- ag##fee.com/ufwnltbz/gnemtrzxsn.php?ad########
- ag##fee.com/ufwnltbz/yptozgozmu.php?ad########
UDP:
- DNS ASK ag##fee.com
