Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\zbxjddmg.exe'
- '<SYSTEM32>\ozxejhrj.exe'
- '<SYSTEM32>\myvodgcm.exe'
- '<SYSTEM32>\ggzixjoq.exe'
- '<SYSTEM32>\ziklvkdc.exe'
- '<SYSTEM32>\mtsgrahf.exe'
- '<SYSTEM32>\nkczsbnb.exe'
- '<SYSTEM32>\wflzpiig.exe'
- '<SYSTEM32>\hntbrwzl.exe'
- '<SYSTEM32>\pgosfbuy.exe'
- '<SYSTEM32>\jooduusk.exe'
- '<SYSTEM32>\nkaqjyfv.exe'
- '<SYSTEM32>\qdmuqwnj.exe'
- '<SYSTEM32>\uuavihmf.exe'
- '<SYSTEM32>\sjydsyyc.exe'
- '<SYSTEM32>\txhkkcyt.exe'
- '<SYSTEM32>\jszinwfy.exe'
- '<SYSTEM32>\mchhwiej.exe'
- '<SYSTEM32>\fgweubzo.exe'
- '<SYSTEM32>\dkmxvnxh.exe'
- '<SYSTEM32>\xtmumtjh.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ziklvkdc.exe
- <SYSTEM32>\myvodgcm.exe
- <SYSTEM32>\zbxjddmg.exe
- <SYSTEM32>\mchhwiej.exe
- <SYSTEM32>\jooduusk.exe
- <SYSTEM32>\ggzixjoq.exe
- <SYSTEM32>\ozxejhrj.exe
- <SYSTEM32>\mtsgrahf.exe
- <SYSTEM32>\nkczsbnb.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
- <SYSTEM32>\hntbrwzl.exe
- <SYSTEM32>\pgosfbuy.exe
- <SYSTEM32>\wflzpiig.exe
- <SYSTEM32>\sjydsyyc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[1]
- <SYSTEM32>\txhkkcyt.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[1]
- <SYSTEM32>\mswinsck.ocx
- <SYSTEM32>\uuavihmf.exe
- <SYSTEM32>\xtmumtjh.exe
- <SYSTEM32>\fgweubzo.exe
- <SYSTEM32>\jszinwfy.exe
- <SYSTEM32>\nkaqjyfv.exe
- <SYSTEM32>\qdmuqwnj.exe
- <SYSTEM32>\dkmxvnxh.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\zbxjddmg.exe
- <SYSTEM32>\ozxejhrj.exe
- <SYSTEM32>\myvodgcm.exe
- <SYSTEM32>\ggzixjoq.exe
- <SYSTEM32>\ziklvkdc.exe
- <SYSTEM32>\mtsgrahf.exe
- <SYSTEM32>\nkczsbnb.exe
- <SYSTEM32>\wflzpiig.exe
- <SYSTEM32>\hntbrwzl.exe
- <SYSTEM32>\pgosfbuy.exe
- <SYSTEM32>\jooduusk.exe
- <SYSTEM32>\nkaqjyfv.exe
- <SYSTEM32>\qdmuqwnj.exe
- <SYSTEM32>\uuavihmf.exe
- <SYSTEM32>\sjydsyyc.exe
- <SYSTEM32>\txhkkcyt.exe
- <SYSTEM32>\jszinwfy.exe
- <SYSTEM32>\mchhwiej.exe
- <SYSTEM32>\fgweubzo.exe
- <SYSTEM32>\dkmxvnxh.exe
- <SYSTEM32>\xtmumtjh.exe
Удаляет следующие файлы:
- %TEMP%\~DFAFE8.tmp
- %TEMP%\~DFF4B2.tmp
- %TEMP%\~DFB146.tmp
- %TEMP%\~DFC74.tmp
- %TEMP%\~DFB3CF.tmp
- %TEMP%\~DF6CE.tmp
- %TEMP%\~DF1032.tmp
- %TEMP%\~DF9068.tmp
- %TEMP%\~DF2C81.tmp
- %TEMP%\~DFEA41.tmp
- %TEMP%\~DF69CF.tmp
- %TEMP%\~DFD81.tmp
- %TEMP%\~DF6799.tmp
- %TEMP%\~DF260B.tmp
- %TEMP%\~DFDE84.tmp
- %TEMP%\~DF80AC.tmp
- %TEMP%\~DF4BF0.tmp
- %TEMP%\~DFCE52.tmp
- %TEMP%\~DF7B72.tmp
- %TEMP%\~DFE678.tmp
- %TEMP%\~DFA5AB.tmp
- %TEMP%\~DF895C.tmp
- %TEMP%\~DF5CFC.tmp
- %TEMP%\~DF2D6C.tmp
- %TEMP%\~DF8C4D.tmp
- %TEMP%\~DF68F2.tmp
- %TEMP%\~DF78B.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[1]
- %TEMP%\~DF6783.tmp
- %TEMP%\~DF25B6.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[1]
- %TEMP%\~DFFD50.tmp
- %TEMP%\~DF9171.tmp
- %TEMP%\~DF997D.tmp
- %TEMP%\~DF7CD3.tmp
- %TEMP%\~DF1A52.tmp
- %TEMP%\~DF73AA.tmp
- %TEMP%\~DF35FB.tmp
- %TEMP%\~DF3F83.tmp
- %TEMP%\~DF4FE.tmp
- %TEMP%\~DF5D12.tmp
- %TEMP%\~DF4252.tmp
- %TEMP%\~DFDF64.tmp
- %TEMP%\~DFA210.tmp
Сетевая активность:
Подключается к:
- 'localhost':1065
- 'localhost':1067
- 'localhost':1063
- 'localhost':1059
- 'localhost':1061
- 'localhost':1069
- 'localhost':1077
- 'localhost':1079
- 'localhost':1075
- 'localhost':1071
- 'localhost':1073
- 'localhost':1057
- 'localhost':1041
- 'localhost':1043
- 'localhost':1039
- 'localhost':1036
- 'cf#####9.uf.daum.net':80
- 'localhost':1045
- 'localhost':1053
- 'localhost':1055
- 'localhost':1051
- 'localhost':1047
- 'localhost':1049
TCP:
Запросы HTTP GET:
- cf#####9.uf.daum.net/attach/1759CB3B5124F217143044
UDP:
- DNS ASK cf#####9.uf.daum.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
