Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\wnrsakvx.exe'
- '<SYSTEM32>\yyrvzvgh.exe'
- '<SYSTEM32>\whmpithf.exe'
- '<SYSTEM32>\igqagevm.exe'
- '<SYSTEM32>\tmxragde.exe'
- '<SYSTEM32>\rydlknle.exe'
- '<SYSTEM32>\zecbsodb.exe'
- '<SYSTEM32>\kbsjptrh.exe'
- '<SYSTEM32>\efmbnird.exe'
- '<SYSTEM32>\igqagevm.exe' /pid=3616
- '<SYSTEM32>\rydlknle.exe' /pid=3400
- '<SYSTEM32>\fhxglbxe.exe'
- '<SYSTEM32>\rjeyqifn.exe'
- '<SYSTEM32>\aikkbhlr.exe'
- '<SYSTEM32>\wheabisp.exe'
- '<SYSTEM32>\tpanmkph.exe'
- '<SYSTEM32>\vjsuqqtd.exe'
- '<SYSTEM32>\wjzijkga.exe'
- '<SYSTEM32>\pmqcocpu.exe'
- '<SYSTEM32>\utnimlyq.exe'
- '<SYSTEM32>\efyliuar.exe'
- '<SYSTEM32>\gpmigelh.exe'
- '<SYSTEM32>\xrsvqtty.exe'
- '<SYSTEM32>\trmliwhx.exe'
- '<SYSTEM32>\dgjxcusn.exe'
- '<SYSTEM32>\xynuocdk.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: '(null)'
- ClassName: 'OLLYDBG' WindowName: '(null)'
- ClassName: 'FilemonClass' WindowName: '(null)'
- ClassName: 'pediy06' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wnrsakvx.exe
- <SYSTEM32>\rydlknle.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[4]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[4]
- <SYSTEM32>\yyrvzvgh.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[3]
- <SYSTEM32>\xrsvqtty.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[3]
- <SYSTEM32>\igqagevm.exe
- <SYSTEM32>\tmxragde.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1759CB3B5124F217143044[3]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[5]
- <SYSTEM32>\rjeyqifn.exe
- <SYSTEM32>\kbsjptrh.exe
- <SYSTEM32>\efmbnird.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1759CB3B5124F217143044[5]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[5]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1759CB3B5124F217143044[4]
- <SYSTEM32>\whmpithf.exe
- <SYSTEM32>\zecbsodb.exe
- <SYSTEM32>\fhxglbxe.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[4]
- <SYSTEM32>\gpmigelh.exe
- <SYSTEM32>\pmqcocpu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1759CB3B5124F217143044[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[1]
- <SYSTEM32>\wheabisp.exe
- <SYSTEM32>\aikkbhlr.exe
- <SYSTEM32>\wjzijkga.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[1]
- <SYSTEM32>\MSWINSCK.ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[1]
- <SYSTEM32>\vjsuqqtd.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[2]
- <SYSTEM32>\dgjxcusn.exe
- <SYSTEM32>\xynuocdk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[3]
- <SYSTEM32>\efyliuar.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\1759CB3B5124F217143044[2]
- <SYSTEM32>\tpanmkph.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[2]
- <SYSTEM32>\utnimlyq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[2]
- <SYSTEM32>\trmliwhx.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\rydlknle.exe
- <SYSTEM32>\wnrsakvx.exe
- <SYSTEM32>\yyrvzvgh.exe
- <SYSTEM32>\xrsvqtty.exe
- <SYSTEM32>\igqagevm.exe
- <SYSTEM32>\tmxragde.exe
- <SYSTEM32>\rjeyqifn.exe
- <SYSTEM32>\kbsjptrh.exe
- <SYSTEM32>\efmbnird.exe
- <SYSTEM32>\whmpithf.exe
- <SYSTEM32>\zecbsodb.exe
- <SYSTEM32>\fhxglbxe.exe
- <SYSTEM32>\aikkbhlr.exe
- <SYSTEM32>\wheabisp.exe
- <SYSTEM32>\tpanmkph.exe
- <SYSTEM32>\vjsuqqtd.exe
- <SYSTEM32>\wjzijkga.exe
- <SYSTEM32>\pmqcocpu.exe
- <SYSTEM32>\xynuocdk.exe
- <SYSTEM32>\efyliuar.exe
- <SYSTEM32>\gpmigelh.exe
- <SYSTEM32>\utnimlyq.exe
- <SYSTEM32>\trmliwhx.exe
- <SYSTEM32>\dgjxcusn.exe
Удаляет следующие файлы:
- %TEMP%\~DF15C1.tmp
- %TEMP%\~DF5E92.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[3]
- %TEMP%\~DF9A3D.tmp
- %TEMP%\~DFB04B.tmp
- %TEMP%\~DF2C3E.tmp
- %TEMP%\~DF5D53.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1759CB3B5124F217143044[3]
- %TEMP%\~DF8DB.tmp
- %TEMP%\~DF31DD.tmp
- %TEMP%\~DF945E.tmp
- %TEMP%\~DF9099.tmp
- %TEMP%\~DFCDE4.tmp
- %TEMP%\~DFC5A2.tmp
- %TEMP%\~DFC136.tmp
- %TEMP%\~DFF6B9.tmp
- %TEMP%\~DF56E8.tmp
- %TEMP%\~DF8E65.tmp
- %TEMP%\~DF8FE9.tmp
- %TEMP%\~DFF3FA.tmp
- %TEMP%\~DF5655.tmp
- %TEMP%\~DF8B3A.tmp
- %TEMP%\~DF66A9.tmp
- %TEMP%\~DF2720.tmp
- %TEMP%\~DF212D.tmp
- %TEMP%\~DF570E.tmp
- %TEMP%\~DF578A.tmp
- %TEMP%\~DF6AA6.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[1]
- %TEMP%\~DFC700.tmp
- %TEMP%\~DFFB59.tmp
- %TEMP%\~DF2E5D.tmp
- %TEMP%\~DF33AB.tmp
- %TEMP%\~DFFBC9.tmp
- %TEMP%\~DF2465.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[1]
- %TEMP%\~DF1781.tmp
- %TEMP%\~DFFBF4.tmp
- %TEMP%\~DF347A.tmp
- %TEMP%\~DFD4FA.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\1759CB3B5124F217143044[2]
- %TEMP%\~DFB88F.tmp
- %TEMP%\~DF6C37.tmp
- %TEMP%\~DF65F3.tmp
- %TEMP%\~DF6012.tmp
- %TEMP%\~DF9C27.tmp
- %TEMP%\~DF1423.tmp
- %TEMP%\~DF67CA.tmp
- %TEMP%\~DFA393.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1759CB3B5124F217143044[2]
- %TEMP%\~DFB723.tmp
- %TEMP%\~DF625E.tmp
- %TEMP%\~DF3771.tmp
Сетевая активность:
Подключается к:
- 'localhost':1098
- 'localhost':1096
- 'localhost':1094
- 'localhost':1103
- 'localhost':1101
- 'localhost':1099
- 'localhost':1086
- 'localhost':1084
- 'localhost':1083
- 'localhost':1092
- 'localhost':1090
- 'localhost':1088
- 'localhost':1105
- 'localhost':1123
- 'localhost':1121
- 'localhost':1119
- 'localhost':1128
- 'localhost':1126
- 'localhost':1125
- 'localhost':1111
- 'localhost':1109
- 'localhost':1107
- 'localhost':1117
- 'localhost':1115
- 'localhost':1113
- 'localhost':1051
- 'localhost':1050
- 'localhost':1048
- 'localhost':1057
- 'localhost':1055
- 'localhost':1053
- 'localhost':1040
- 'cf#####9.uf.daum.net':80
- 'localhost':1037
- 'localhost':1046
- 'localhost':1044
- 'localhost':1042
- 'localhost':1058
- 'localhost':1075
- 'localhost':1073
- 'localhost':1072
- 'localhost':1081
- 'localhost':1079
- 'localhost':1077
- 'localhost':1063
- 'localhost':1062
- 'localhost':1060
- 'localhost':1070
- 'localhost':1067
- 'localhost':1064
TCP:
Запросы HTTP GET:
- cf#####9.uf.daum.net/attach/1759CB3B5124F217143044
UDP:
- DNS ASK cf#####9.uf.daum.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '18467-41' WindowName: '(null)'
