Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\mcalfzup.exe'
- '<SYSTEM32>\plxdyldl.exe'
- '<SYSTEM32>\clugafdt.exe'
- '<SYSTEM32>\iclcklyy.exe' -Embedding
- '<SYSTEM32>\txcsegtk.exe'
- '<SYSTEM32>\iurzkoys.exe'
- '<SYSTEM32>\vgvopcnh.exe' /pid=3140
- '<SYSTEM32>\iclcklyy.exe'
- '<SYSTEM32>\vgvopcnh.exe'
- '<SYSTEM32>\lhycaiwc.exe'
- '<SYSTEM32>\hwykalfg.exe'
- '<SYSTEM32>\qvxbkvnt.exe'
- '<SYSTEM32>\iwyjfpsl.exe'
- '<SYSTEM32>\eskalomw.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\clugafdt.exe
- <SYSTEM32>\qvxbkvnt.exe
- <SYSTEM32>\iwyjfpsl.exe
- <SYSTEM32>\plxdyldl.exe
- <SYSTEM32>\txcsegtk.exe
- <SYSTEM32>\iurzkoys.exe
- <SYSTEM32>\mcalfzup.exe
- <SYSTEM32>\lhycaiwc.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\vgvopcnh.exe
- <SYSTEM32>\eskalomw.exe
- <SYSTEM32>\hwykalfg.exe
- <SYSTEM32>\iclcklyy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\plxdyldl.exe
- <SYSTEM32>\clugafdt.exe
- <SYSTEM32>\qvxbkvnt.exe
- <SYSTEM32>\txcsegtk.exe
- <SYSTEM32>\iurzkoys.exe
- <SYSTEM32>\mcalfzup.exe
- <SYSTEM32>\iclcklyy.exe
- <SYSTEM32>\vgvopcnh.exe
- <SYSTEM32>\lhycaiwc.exe
- <SYSTEM32>\iwyjfpsl.exe
- <SYSTEM32>\eskalomw.exe
- <SYSTEM32>\hwykalfg.exe
Удаляет следующие файлы:
- %TEMP%\~DFE92B.tmp
- %TEMP%\~DF1E42.tmp
- %TEMP%\~DF308E.tmp
- %TEMP%\~DF5AA1.tmp
- %TEMP%\~DFFC83.tmp
- %TEMP%\~DF475.tmp
- %TEMP%\~DF83E0.tmp
- %TEMP%\~DFCC93.tmp
- %TEMP%\~DF9AD6.tmp
- %TEMP%\~DFAE7F.tmp
- %TEMP%\~DFA134.tmp
- %TEMP%\~DFC55B.tmp
- %TEMP%\~DFB541.tmp
- %TEMP%\~DFD53F.tmp
- %TEMP%\~DFC4BE.tmp
- %TEMP%\~DFC661.tmp
- %TEMP%\~DFA1FD.tmp
- %TEMP%\~DF400C.tmp
- %TEMP%\~DF353D.tmp
- %TEMP%\~DF8E49.tmp
- %TEMP%\~DFB4BD.tmp
- %TEMP%\~DF75C8.tmp
- %TEMP%\~DFE444.tmp
- %TEMP%\~DFD593.tmp
- %TEMP%\~DFF0AE.tmp
- %TEMP%\~DFE5C7.tmp
- %TEMP%\~DFECFF.tmp
- %TEMP%\~DFD043.tmp
- %TEMP%\~DF7980.tmp
- %TEMP%\~DF7DCD.tmp
- %TEMP%\~DF82D9.tmp
- %TEMP%\~DF9025.tmp
- %TEMP%\~DF8359.tmp
- %TEMP%\~DF6D4C.tmp
- %TEMP%\~DF7F70.tmp
- %TEMP%\~DF95BA.tmp
- %TEMP%\~DFB879.tmp
- %TEMP%\~DF7C92.tmp
- %TEMP%\~DF6169.tmp
- %TEMP%\~DFF901.tmp
- %TEMP%\~DFECE7.tmp
- %TEMP%\~DF61BD.tmp
- %TEMP%\~DF5E1E.tmp
- %TEMP%\~DFA2A8.tmp
- %TEMP%\~DF6FCD.tmp
- %TEMP%\~DF66BA.tmp
- %TEMP%\~DF8199.tmp
- %TEMP%\~DFB9AE.tmp
- %TEMP%\~DFD524.tmp
- %TEMP%\~DF5BE7.tmp
- %TEMP%\~DF4239.tmp
- %TEMP%\~DF3D84.tmp
- %TEMP%\~DF456D.tmp
- %TEMP%\~DF497B.tmp
- %TEMP%\~DF446F.tmp
- %TEMP%\~DF825F.tmp
- %TEMP%\~DF5830.tmp
- %TEMP%\~DF757F.tmp
- %TEMP%\~DFE5FC.tmp
- %TEMP%\~DFA6FF.tmp
- %TEMP%\~DF706.tmp
- %TEMP%\~DFD4AE.tmp
- %TEMP%\~DFC5A0.tmp
- %TEMP%\~DFDE97.tmp
- %TEMP%\~DFF6B.tmp
- %TEMP%\~DFE400.tmp
- %TEMP%\~DF627.tmp
- %TEMP%\~DFF2E9.tmp
- %TEMP%\~DF7651.tmp
- %TEMP%\~DF97CE.tmp
- %TEMP%\~DF6A2C.tmp
- %TEMP%\~DFE7C5.tmp
- %TEMP%\~DFF098.tmp
- %TEMP%\~DFE44A.tmp
- %TEMP%\~DFD67E.tmp
- %TEMP%\~DF24B1.tmp
- %TEMP%\~DFE32A.tmp
- %TEMP%\~DF1353.tmp
- %TEMP%\~DF5FA.tmp
- %TEMP%\~DF14D3.tmp
- %TEMP%\~DF4332.tmp
- %TEMP%\~DF26D9.tmp
- %TEMP%\~DFE4AE.tmp
- %TEMP%\~DF7972.tmp
- %TEMP%\~DF6906.tmp
- %TEMP%\~DFC97B.tmp
- %TEMP%\~DFFCDE.tmp
- %TEMP%\~DF97F7.tmp
- %TEMP%\~DF9FF3.tmp
- %TEMP%\~DF9CF0.tmp
- %TEMP%\~DFC477.tmp
- %TEMP%\~DFA2F.tmp
- %TEMP%\~DFEEEE.tmp
- %TEMP%\~DF3162.tmp
- %TEMP%\~DFEFD3.tmp
- %TEMP%\~DFDE99.tmp
- %TEMP%\~DF4D1.tmp
- %TEMP%\~DF5576.tmp
- %TEMP%\~DF2DF1.tmp
- %TEMP%\~DF9D28.tmp
- %TEMP%\~DF7106.tmp
- %TEMP%\~DFB163.tmp
- %TEMP%\~DFC2C9.tmp
- %TEMP%\~DFB137.tmp
- %TEMP%\~DF6D44.tmp
- %TEMP%\~DF40E8.tmp
- %TEMP%\~DF21AC.tmp
- %TEMP%\~DF4266.tmp
- %TEMP%\~DF4455.tmp
- %TEMP%\~DF410B.tmp
- %TEMP%\~DF269E.tmp
- %TEMP%\~DF2629.tmp
- %TEMP%\~DF355F.tmp
- %TEMP%\~DF671F.tmp
- %TEMP%\~DF4942.tmp
- %TEMP%\~DFE788.tmp
- %TEMP%\~DF6B69.tmp
- %TEMP%\~DF57AA.tmp
- %TEMP%\~DF7BA0.tmp
- %TEMP%\~DFB5A1.tmp
- %TEMP%\~DF924E.tmp
- %TEMP%\~DF5493.tmp
- %TEMP%\~DF5A34.tmp
- %TEMP%\~DF8B91.tmp
- %TEMP%\~DFDDED.tmp
- %TEMP%\~DFCB8C.tmp
- %TEMP%\~DF1AC9.tmp
- %TEMP%\~DFBE87.tmp
- %TEMP%\~DF8F15.tmp
- %TEMP%\~DFFB5E.tmp
- %TEMP%\~DF3024.tmp
- %TEMP%\~DFF307.tmp
- %TEMP%\~DFBE68.tmp
- %TEMP%\~DFBC11.tmp
- %TEMP%\~DFEB9C.tmp
- %TEMP%\~DFFEF1.tmp
- %TEMP%\~DFED87.tmp
- %TEMP%\~DF9507.tmp
- %TEMP%\~DF77C5.tmp
- %TEMP%\~DF7775.tmp
- %TEMP%\~DF7B5A.tmp
- %TEMP%\~DFBA8E.tmp
- %TEMP%\~DF9136.tmp
- %TEMP%\~DF4BA1.tmp
- %TEMP%\~DF3750.tmp
- %TEMP%\~DF8D2D.tmp
- %TEMP%\~DF7892.tmp
- %TEMP%\~DF77F4.tmp
- %TEMP%\~DF38E0.tmp
- %TEMP%\~DF148C.tmp
- %TEMP%\~DF1060.tmp
- %TEMP%\~DF2D09.tmp
- %TEMP%\~DF3BBB.tmp
- %TEMP%\~DF51A4.tmp
- %TEMP%\~DFB60F.tmp
- %TEMP%\~DFA786.tmp
- %TEMP%\~DFC2FD.tmp
- %TEMP%\~DFF71A.tmp
- %TEMP%\~DFF060.tmp
- %TEMP%\~DFAD67.tmp
- %TEMP%\~DF193E.tmp
- %TEMP%\~DF4.tmp
- %TEMP%\~DF55A3.tmp
- %TEMP%\~DF6E3E.tmp
- %TEMP%\~DF81A5.tmp
- %TEMP%\~DF73.tmp
- %TEMP%\~DFCAE7.tmp
- %TEMP%\~DFCDE7.tmp
- %TEMP%\~DF6B13.tmp
- %TEMP%\~DF3F9D.tmp
- %TEMP%\~DF41B6.tmp
- %TEMP%\~DF3867.tmp
- %TEMP%\~DF11C9.tmp
- %TEMP%\~DF15BF.tmp
- %TEMP%\~DF5753.tmp
- %TEMP%\~DF519D.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
