Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- C:\fqboj.exe
- C:\hnigkjw.exe
- C:\sccyqqy.exe
- C:\ppfolkjj.exe
- C:\uopf.exe
- C:\hrav.exe
- C:\wpipa.exe
- C:\ryeihyu.exe
- %TEMP%\vitt.exe
- %TEMP%\loadadv788.exe
- %TEMP%\dodolook004.exe
- %TEMP%\bind_40313.exe
- %TEMP%\gaoxin.exe
- %ALLUSERSPROFILE%\Templates\temp.exe
- C:\ryeihyu.exe (загружен из сети Интернет)
- C:\fqboj.exe (загружен из сети Интернет)
- C:\hrav.exe (загружен из сети Интернет)
- C:\uopf.exe (загружен из сети Интернет)
- C:\sccyqqy.exe (загружен из сети Интернет)
- %TEMP%\gaoxin.exe (загружен из сети Интернет)
- %ALLUSERSPROFILE%\Templates\temp.exe (загружен из сети Интернет)
- C:\wpipa.exe (загружен из сети Интернет)
- C:\ppfolkjj.exe (загружен из сети Интернет)
- C:\hnigkjw.exe (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\exckphluvq[1].php
- C:\wpipa.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\orfxbtojh[1].php
- C:\ppfolkjj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\jjfnmfs[1]
- C:\hnigkjw.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\aluwggd[1].php
- C:\uopf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cwrsnowft[1]
- C:\ryeihyu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\pupoubhey[1].php
- C:\fqboj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\nzsinrsxy[1].php
- C:\hrav.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pigbwbj[1].php
- C:\sccyqqy.exe
- %TEMP%\vitt.ini
- %TEMP%\loadadv788.exe
- %TEMP%\p_star_1.jpg
- %TEMP%\vitt.exe
- %TEMP%\nsb2.tmp
- %TEMP%\dodolook004.exe
- %TEMP%\bind_40313.exe
- <SYSTEM32>\cnwin.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\fomhz[1].php
- C:\uniq
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ozwafnsjx[1]
- %TEMP%\gaoxin.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kuzhansetup[1]
- %ALLUSERSPROFILE%\Templates\temp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gaoxin[1].exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kuzhansetup[1]
Сетевая активность:
Подключается к:
- 'zh###xzahv.biz':80
- 'www.yu##tx.com':80
- 'fi###.unionsms.net':80
TCP:
Запросы HTTP GET:
- zh###xzahv.biz/progs_exe/togrxueeh/nzsinrsxy.php
- zh###xzahv.biz/progs_exe/togrxueeh/orfxbtojh.php
- zh###xzahv.biz/progs_exe/togrxueeh/exckphluvq.php
- zh###xzahv.biz/progs_exe/togrxueeh/pupoubhey.php?ex###################################################
- zh###xzahv.biz/progs_exe/togrxueeh/cwrsnowft
- zh###xzahv.biz/progs_exe/togrxueeh/pigbwbj.php
- zh###xzahv.biz/progs_exe/togrxueeh/fomhz.php?ad########
- www.yu##tx.com/gaoxin.exe
- fi###.unionsms.net/kuzhan/kuzhansetup.exe?qu###########
- zh###xzahv.biz/progs_exe/togrxueeh/aluwggd.php
- zh###xzahv.biz/progs_exe/togrxueeh/jjfnmfs
- zh###xzahv.biz/progs_exe/togrxueeh/ozwafnsjx
UDP:
- DNS ASK zh###xzahv.biz
- DNS ASK www.yu##tx.com
- DNS ASK fi###.unionsms.net
