Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- C:\mnmidbxf.exe
- C:\igcrfu.exe
- C:\foqt.exe
- C:\ptooigas.exe
- C:\pkbctlhu.exe
- C:\uisai.exe
- %HOMEPATH%\TyBxRX.exe
- <SYSTEM32>\tov02\tov022328.exe
- %HOMEPATH%\zGCKgvz.exe
- C:\bgmfh.exe
- C:\igcrfu.exe (загружен из сети Интернет)
- C:\pkbctlhu.exe (загружен из сети Интернет)
- C:\ptooigas.exe (загружен из сети Интернет)
- C:\uisai.exe (загружен из сети Интернет)
- C:\bgmfh.exe (загружен из сети Интернет)
- C:\foqt.exe (загружен из сети Интернет)
- C:\mnmidbxf.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\dumprep.exe 2552 -dm 7 7 %TEMP%\WER630d.dir00\svchost.exe.hdmp 16325836412027180
- <SYSTEM32>\rundll32.exe <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\svchost.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\dumprep.exe 2552 -dm 7 7 %TEMP%\WER630d.dir00\svchost.exe.mdmp 16325836412027160
Завершает или пытается завершить
следующие пользовательские процессы:
- gw.exe
- MCAGENT.EXE
- mpftray.exe
- GUARD.EXE
- fsav32.exe
- gc.exe
- ge.exe
- NAVAPW32.EXE
- zapro.exe
- zlclient.exe
- ZONEALARM.EXE
- smc.exe
- nod.exe
- nod32.exe
- outpost.exe
- AVP.EXE
- AVP32.EXE
- AVPCC.EXE
- AVGCTRL.EXE
- ash.exe
- avgcc.exe
- AVGCC32.EXE
- AVPM.EXE
- ClamWin.exe
- drweb.exe
- fsav.exe
- ccapp.exe
- AVSYNMGR.EXE
- bdagent.exe
- bdss.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\yeofzmq[1].php
- C:\foqt.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ziftpd[1].php
- C:\mnmidbxf.exe
- C:\uisai.exe
- %TEMP%\WER630d.dir00\svchost.exe.hdmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\yetlee[1].php
- C:\ptooigas.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\pfbyisf[1].php
- %TEMP%\WER630d.dir00\appcompat.txt
- %TEMP%\WER630d.dir00\manifest.txt
- C:\igcrfu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\qjnxuvis[1].php
- C:\pkbctlhu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\jlvswpczj[1]
- <SYSTEM32>\MSINET.OCX
- <SYSTEM32>\pac.txt
- <SYSTEM32>\tov02\tov022328.exe
- <SYSTEM32>\MSINET.oca
- %HOMEPATH%\zGCKgvz.exe
- %HOMEPATH%\TyBxRX.exe
- <SYSTEM32>\MSINET.DEP
- %HOMEPATH%\NmhHdKOWAj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\syurof[1].php
- C:\bgmfh.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\mscpmmn[1].php
- C:\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\IpGeo[1].aspx
- %TEMP%\WER630d.dir00\svchost.exe.mdmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\irllzvws[1].php
Удаляет следующие файлы:
- %HOMEPATH%\TyBxRX.exe
Сетевая активность:
Подключается к:
- 'aa###djkgn.com':80
- '64.##5.153.43':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- aa###djkgn.com/progs/xpnebli/ziftpd.php
- aa###djkgn.com/progs/xpnebli/yeofzmq.php
- aa###djkgn.com/progs/xpnebli/qjnxuvis.php
- aa###djkgn.com/progs/xpnebli/pfbyisf.php?ad#################################################
- aa###djkgn.com/progs/xpnebli/jlvswpczj
- aa###djkgn.com/progs/xpnebli/irllzvws.php?ad########
- 64.##5.153.43/reporting/IpGeo.aspx
- aa###djkgn.com/progs/xpnebli/syurof.php
- aa###djkgn.com/progs/xpnebli/yetlee.php
- aa###djkgn.com/progs/xpnebli/mscpmmn.php
UDP:
- DNS ASK aa###djkgn.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
