Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\rvhtvyus.exe'
- '<SYSTEM32>\zvtgylrz.exe'
- '<SYSTEM32>\tjbakoio.exe'
- '<SYSTEM32>\yfiieevd.exe'
- '<SYSTEM32>\gakbjuyw.exe'
- '<SYSTEM32>\moimnxin.exe'
- '<SYSTEM32>\xvjvilhw.exe'
- '<SYSTEM32>\hrqyzkga.exe'
- '<SYSTEM32>\xacreszw.exe'
- '<SYSTEM32>\dsqomumd.exe'
- '<SYSTEM32>\scisyqpa.exe'
- '<SYSTEM32>\fpihtjbk.exe'
- '<SYSTEM32>\uovgosvf.exe'
- '<SYSTEM32>\gvwjewpy.exe'
- '<SYSTEM32>\sfxwckzr.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~DFA600.tmp
- <SYSTEM32>\zvtgylrz.exe
- %TEMP%\~DF30E1.tmp
- %TEMP%\~DF50E3.tmp
- <SYSTEM32>\rvhtvyus.exe
- %TEMP%\~DFD89F.tmp
- %TEMP%\~DF5901.tmp
- <SYSTEM32>\hrqyzkga.exe
- %TEMP%\~DFE36E.tmp
- %TEMP%\~DF266.tmp
- <SYSTEM32>\tjbakoio.exe
- %TEMP%\~DF8C75.tmp
- %TEMP%\~DFE5CE.tmp
- <SYSTEM32>\moimnxin.exe
- %TEMP%\~DF9757.tmp
- %TEMP%\~DF5153.tmp
- <SYSTEM32>\gakbjuyw.exe
- %TEMP%\~DF16FA.tmp
- %TEMP%\~DFE24A.tmp
- <SYSTEM32>\yfiieevd.exe
- %TEMP%\~DF7C1C.tmp
- %TEMP%\~DF552E.tmp
- <SYSTEM32>\xvjvilhw.exe
- %TEMP%\~DF14E1.tmp
- %TEMP%\~DF952D.tmp
- %TEMP%\~DF6246.tmp
- <SYSTEM32>\dsqomumd.exe
- %TEMP%\~DF600.tmp
- <SYSTEM32>\xacreszw.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- <SYSTEM32>\scisyqpa.exe
- <SYSTEM32>\MSWINSCK.ocx
- %TEMP%\~DF5A67.tmp
- %TEMP%\~DF2CA6.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DFECA8.tmp
- %TEMP%\~DF1201.tmp
- <SYSTEM32>\gvwjewpy.exe
- %TEMP%\~DF7F9E.tmp
- %TEMP%\~DFB578.tmp
- <SYSTEM32>\uovgosvf.exe
- %TEMP%\~DF3D20.tmp
- %TEMP%\~DFAE9F.tmp
- <SYSTEM32>\fpihtjbk.exe
- %TEMP%\~DF37EB.tmp
- %TEMP%\~DF51B2.tmp
- <SYSTEM32>\sfxwckzr.exe
- %TEMP%\~DFE218.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\rvhtvyus.exe
- <SYSTEM32>\zvtgylrz.exe
- <SYSTEM32>\tjbakoio.exe
- <SYSTEM32>\yfiieevd.exe
- <SYSTEM32>\gakbjuyw.exe
- <SYSTEM32>\moimnxin.exe
- <SYSTEM32>\xvjvilhw.exe
- <SYSTEM32>\hrqyzkga.exe
- <SYSTEM32>\xacreszw.exe
- <SYSTEM32>\dsqomumd.exe
- <SYSTEM32>\scisyqpa.exe
- <SYSTEM32>\fpihtjbk.exe
- <SYSTEM32>\uovgosvf.exe
- <SYSTEM32>\gvwjewpy.exe
- <SYSTEM32>\sfxwckzr.exe
Удаляет следующие файлы:
- %TEMP%\~DFD89F.tmp
- %TEMP%\~DF266.tmp
- %TEMP%\~DF7C1C.tmp
- %TEMP%\~DF5901.tmp
- %TEMP%\~DF8C75.tmp
- %TEMP%\~DFB578.tmp
- %TEMP%\~DF30E1.tmp
- %TEMP%\~DFE24A.tmp
- %TEMP%\~DF16FA.tmp
- %TEMP%\~DF552E.tmp
- %TEMP%\~DF9757.tmp
- %TEMP%\~DFA600.tmp
- %TEMP%\~DF14E1.tmp
- %TEMP%\~DF50E3.tmp
- %TEMP%\~DF37EB.tmp
- %TEMP%\~DF6246.tmp
- %TEMP%\~DFE218.tmp
- %TEMP%\~DFECA8.tmp
- %TEMP%\~DF2CA6.tmp
- %TEMP%\~DF5A67.tmp
- %TEMP%\~DF952D.tmp
- %TEMP%\~DF51B2.tmp
- %TEMP%\~DFE36E.tmp
- %TEMP%\~DF1201.tmp
- %TEMP%\~DF3D20.tmp
- %TEMP%\~DF600.tmp
- %TEMP%\~DF7F9E.tmp
- %TEMP%\~DFAE9F.tmp
Сетевая активность:
Подключается к:
- 'localhost':1056
- 'localhost':1058
- 'localhost':1052
- 'localhost':1054
- 'localhost':1064
- 'localhost':1066
- 'localhost':1060
- 'localhost':1062
- 'localhost':1040
- 'localhost':1042
- 'localhost':1037
- 'pd###.egloos.com':80
- 'localhost':1048
- 'localhost':1050
- 'localhost':1044
- 'localhost':1046
TCP:
Запросы HTTP GET:
- http://pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '18467-41' WindowName: ''
