Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- "%TEMP%\598476.exe" (загружен из сети Интернет)
- "%TEMP%\104724.exe" (загружен из сети Интернет)
- "%TEMP%\768745.exe" (загружен из сети Интернет)
- "%TEMP%\961442.exe" (загружен из сети Интернет)
- "%TEMP%\975754.exe" (загружен из сети Интернет)
- "%TEMP%\169750.exe" (загружен из сети Интернет)
- "%TEMP%\565901.exe" (загружен из сети Интернет)
- "%TEMP%\199857.exe" (загружен из сети Интернет)
- "%TEMP%\864530.exe" (загружен из сети Интернет)
- "%TEMP%\985529.exe" (загружен из сети Интернет)
- "%TEMP%\419650.exe" (загружен из сети Интернет)
- "%TEMP%\408205.exe" (загружен из сети Интернет)
- "%TEMP%\257009.exe" (загружен из сети Интернет)
- "%TEMP%\968471.exe" (загружен из сети Интернет)
- "%TEMP%\250985.exe" (загружен из сети Интернет)
- "%TEMP%\013874.exe" (загружен из сети Интернет)
- "%TEMP%\250794.exe" (загружен из сети Интернет)
- "%TEMP%\639510.exe" (загружен из сети Интернет)
- "%TEMP%\047752.exe" (загружен из сети Интернет)
- "%TEMP%\165978.exe" (загружен из сети Интернет)
- "%TEMP%\515449.exe" (загружен из сети Интернет)
- "%TEMP%\554717.exe" (загружен из сети Интернет)
- "%TEMP%\046477.exe" (загружен из сети Интернет)
- "%TEMP%\259315.exe" (загружен из сети Интернет)
- "%TEMP%\980572.exe" (загружен из сети Интернет)
- "%TEMP%\653900.exe" (загружен из сети Интернет)
- "%TEMP%\379681.exe" (загружен из сети Интернет)
- "%TEMP%\597054.exe" (загружен из сети Интернет)
- "%TEMP%\695804.exe" (загружен из сети Интернет)
- "%TEMP%\140362.exe" (загружен из сети Интернет)
- "%TEMP%\809521.exe" (загружен из сети Интернет)
- "%TEMP%\583150.exe" (загружен из сети Интернет)
- "%TEMP%\970583.exe" (загружен из сети Интернет)
- "%TEMP%\758072.exe" (загружен из сети Интернет)
- "%TEMP%\755494.exe" (загружен из сети Интернет)
- "%TEMP%\048140.exe" (загружен из сети Интернет)
- "%TEMP%\421987.exe" (загружен из сети Интернет)
- "%TEMP%\149205.exe" (загружен из сети Интернет)
- "%TEMP%\573429.exe" (загружен из сети Интернет)
Скрывает следующие процессы:
- "%TEMP%\968471.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\598476.exe
- %TEMP%\104724.exe
- %TEMP%\768745.exe
- %TEMP%\961442.exe
- %TEMP%\975754.exe
- %TEMP%\169750.exe
- %TEMP%\565901.exe
- %TEMP%\199857.exe
- %TEMP%\864530.exe
- %TEMP%\985529.exe
- %TEMP%\419650.exe
- %TEMP%\408205.exe
- %TEMP%\257009.exe
- %TEMP%\968471.exe
- %TEMP%\250985.exe
- %TEMP%\013874.exe
- %TEMP%\250794.exe
- %TEMP%\639510.exe
- %TEMP%\047752.exe
- %TEMP%\165978.exe
- %TEMP%\515449.exe
- %TEMP%\554717.exe
- %TEMP%\046477.exe
- %TEMP%\259315.exe
- %TEMP%\980572.exe
- %TEMP%\653900.exe
- %TEMP%\379681.exe
- %TEMP%\597054.exe
- %TEMP%\695804.exe
- %TEMP%\140362.exe
- %TEMP%\809521.exe
- %TEMP%\583150.exe
- %TEMP%\970583.exe
- %TEMP%\758072.exe
- %TEMP%\755494.exe
- %TEMP%\048140.exe
- %TEMP%\421987.exe
- %TEMP%\149205.exe
- %TEMP%\573429.exe
Сетевая активность:
Подключается к:
- 'www.li###pcbad.fr':80
- 'www.le#####edicastello.com':80
- 'www.in####nights.net':80
TCP:
Запросы HTTP GET:
- www.li###pcbad.fr//badminton/trip.exe
- www.le#####edicastello.com/public/news/trip.exe
- www.in####nights.net/menu/includes/trip.exe
UDP:
- DNS ASK www.li###pcbad.fr
- DNS ASK www.le#####edicastello.com
- DNS ASK www.in####nights.net
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'project1.exe'
