Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\Ruqewapamo.exe <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\6efd26c6-a9ad-4c20-b434-ac9a73b20060
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %TEMP%\realsched.exe
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\Ruqewapamo.exe
- %TEMP%\lodufakizilu.nik
- %TEMP%\Hadefobadi.dll
- %TEMP%\Vuguvorekem.dll
- %TEMP%\pomusunezeyo.dll
- %TEMP%\Xulogesoruc.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\realsched.exe
Удаляет следующие файлы:
- %TEMP%\Hadefobadi.dll
- %TEMP%\lodufakizilu.nik
- %TEMP%\realsched.exe
- %TEMP%\Vuguvorekem.dll
- %TEMP%\Ruqewapamo.exe
- %TEMP%\pomusunezeyo.dll
- %TEMP%\Xulogesoruc.dll
Сетевая активность:
Подключается к:
- 'fi##help.us':5557
UDP:
- DNS ASK fi##help.us
Другое:
Ищет следующие окна:
- ClassName: 'Button' WindowName: 'Start'
- ClassName: 'Progman' WindowName: 'Program Manager'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '#6780' WindowName: ''
- ClassName: '#32770' WindowName: 'Windows Task Manager'
