Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\84633545\goes.txt
- %TEMP%\84633545\oaaw.ppt
- %TEMP%\84633545\trbchdt.jpg
- %TEMP%\84633545\cuuucwxlsi.jpg
- %TEMP%\84633545\umwpgn.xl
- %TEMP%\84633545\plijgqqm.bmp
- %TEMP%\84633545\vargqkfhr.log
- %TEMP%\84633545\rxwjrdwhf.msc
- %TEMP%\84633545\uwunm.xl
- %TEMP%\84633545\tptnu.dat
- %TEMP%\84633545\hfbrstk.jpg
- %TEMP%\84633545\ekoaveb.mp3
- %TEMP%\84633545\slfrtgv.jpg
- %TEMP%\84633545\dvxu.ini
- %TEMP%\84633545\ttjfx.bmp
- %TEMP%\84633545\eacuc.log
- %TEMP%\84633545\ftaj.dll
- %TEMP%\84633545\fblj.jpg
- %TEMP%\84633545\ndtwrcfdn.txt
- %TEMP%\84633545\vcnngfvi.bmp
- %APPDATA%\pid.txt
- %HOMEPATH%\temp\goes.txt
- %TEMP%\84633545\rnpgqpqcgn.xml
- %TEMP%\84633545\gigt.pdf
- %TEMP%\84633545\pkwvjs.dat
- %TEMP%\84633545\dipl.xl
- %TEMP%\84633545\aqjf.dat
- %TEMP%\84633545\pipqf.exe
- %TEMP%\84633545\cdokqgrp.icm
- %TEMP%\84633545\udrqtpxh.msc
- %TEMP%\84633545\gwauqwbns.log
- %TEMP%\84633545\wtjrpceegn.log
- %TEMP%\84633545\qewbkibc.xl
- %TEMP%\84633545\slhjjogor.icm
- %TEMP%\84633545\wubh.ico
- %TEMP%\84633545\gwflwvskx.pdf
- %APPDATA%\pidloc.txt
- %TEMP%\84633545\xvoxakgwc.pdf
- %TEMP%\84633545\dxqrbif.jpg
- %TEMP%\84633545\inqw.txt
- %TEMP%\84633545\noknln.docx
- %TEMP%\84633545\hjmmabbk.cpl
- %TEMP%\84633545\jgfane.mp3
- %TEMP%\84633545\grchdlkfi.msc
- %TEMP%\84633545\utjmaaalj.xml
- %TEMP%\84633545\kbhkl.xml
- %TEMP%\84633545\mgqb.exe
- %TEMP%\84633545\tcmqlspnr.dll
- %TEMP%\84633545\mxtit.docx
- %TEMP%\84633545\samhtmf.ppt
- %TEMP%\84633545\tpfhteqm.pdf
- %TEMP%\84633545\kfooivu.bin
- %TEMP%\84633545\olmuipxar.exe
- %TEMP%\84633545\ocafspe.vbe
- %TEMP%\84633545\vnrrcasm.gkw
- %TEMP%\84633545\nvaw.dat
- %TEMP%\84633545\ubkx.log
- %TEMP%\84633545\embbg.mp3
- %TEMP%\84633545\oejtfuck.txt
- %TEMP%\84633545\fwig.log
- %TEMP%\84633545\hxqi.dat
- %TEMP%\84633545\qxtnidp.icm
- %TEMP%\84633545\klsok.bin
- %TEMP%\84633545\bpwnjn.xls
- %TEMP%\84633545\nbrlgsvkt.ico
- %TEMP%\84633545\uaheobex.ini
- %TEMP%\84633545\ophpai.log
- %TEMP%\84633545\axbrf.ppt
- %TEMP%\84633545\xdvtftuqwj.ini
- %TEMP%\84633545\cajlw.dll
- %TEMP%\84633545\ddbcbmspj.log
- %TEMP%\84633545\ahmifhtb.xls
- %TEMP%\84633545\auovnr.dll
- %TEMP%\84633545\aqntlhcglk.msc
- %TEMP%\84633545\meea.xl
- %TEMP%\84633545\jdmf.xml
- %TEMP%\bfile_1.jpg
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\84633545\olmuipxar.exe
Сетевая активность
UDP
- DNS ASK wh#####yipaddress.com
- DNS ASK ma##.##obalfinancel.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\84633545\ocafspe.vbe"
- '%TEMP%\84633545\olmuipxar.exe' vnrrcasm.gkw
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holdermail.txt"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holderwb.txt"
