Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\ybhaycla
- %LOCALAPPDATA%\viqahidiy\shlwapi.dll
- %LOCALAPPDATA%\viqahidiy\msvcrt.dll
- %LOCALAPPDATA%\viqahidiy\user32.dll
- %LOCALAPPDATA%\viqahidiy\gdi32.dll
- %LOCALAPPDATA%\viqahidiy\advapi32.dll
- %LOCALAPPDATA%\viqahidiy\iqmoqeqe.myr
- %LOCALAPPDATA%\yrhinuy\dnsapi.dll
- %LOCALAPPDATA%\yrhinuy\powrprof.dll
- %LOCALAPPDATA%\yrhinuy\user32.dll
- %LOCALAPPDATA%\yrhinuy\rpcrt4.dll
- %LOCALAPPDATA%\yrhinuy\msvcrt.dll
- %LOCALAPPDATA%\yrhinuy\tydyaqpo.ost
- %LOCALAPPDATA%\radabioqh\shlwapi.dll
- %LOCALAPPDATA%\radabioqh\msvcrt.dll
- %LOCALAPPDATA%\radabioqh\byloup.cay
- %LOCALAPPDATA%\kaliolylm\msvcrt.dll
- %LOCALAPPDATA%\kaliolylm\bayzz.roi
- %LOCALAPPDATA%\viqahidiy\ole32.dll
- %LOCALAPPDATA%\viqahidiy\comctl32.dll
Удаляет следующие файлы
- %LOCALAPPDATA%\kaliolylm\bayzz.roi
- %LOCALAPPDATA%\viqahidiy\runonce.exe
- %LOCALAPPDATA%\viqahidiy\ole32.dll
- %LOCALAPPDATA%\viqahidiy\msvcrt.dll
- %LOCALAPPDATA%\viqahidiy\iqmoqeqe.myr
- %LOCALAPPDATA%\viqahidiy\gdi32.dll
- %LOCALAPPDATA%\viqahidiy\comctl32.dll
- %LOCALAPPDATA%\viqahidiy\advapi32.dll
- %LOCALAPPDATA%\yrhinuy\user32.dll
- %LOCALAPPDATA%\yrhinuy\tydyaqpo.ost
- %LOCALAPPDATA%\viqahidiy\shlwapi.dll
- %LOCALAPPDATA%\yrhinuy\spoolsv.exe
- %LOCALAPPDATA%\yrhinuy\powrprof.dll
- %LOCALAPPDATA%\yrhinuy\msvcrt.dll
- %LOCALAPPDATA%\yrhinuy\dnsapi.dll
- %LOCALAPPDATA%\radabioqh\shlwapi.dll
- %LOCALAPPDATA%\radabioqh\regedt32.exe
- %LOCALAPPDATA%\radabioqh\msvcrt.dll
- %LOCALAPPDATA%\radabioqh\byloup.cay
- %LOCALAPPDATA%\kaliolylm\msvcrt.dll
- %LOCALAPPDATA%\kaliolylm\ctfmon.exe
- %LOCALAPPDATA%\yrhinuy\rpcrt4.dll
- %LOCALAPPDATA%\viqahidiy\user32.dll
Сетевая активность
UDP
- DNS ASK sy###time.info
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\kaliolylm\ctfmon.exe'
- '%LOCALAPPDATA%\radabioqh\regedt32.exe'
- '%LOCALAPPDATA%\yrhinuy\spoolsv.exe'
- '%LOCALAPPDATA%\viqahidiy\runonce.exe'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe'
