Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\rvlgkosw.exe'
- '<SYSTEM32>\hqlqzfsh.exe'
- '<SYSTEM32>\macmvici.exe'
- '<SYSTEM32>\docjnqnw.exe'
- '<SYSTEM32>\xxprwdmj.exe'
- '<SYSTEM32>\vskgnfbc.exe'
- '<SYSTEM32>\vpyevrzm.exe'
- '<SYSTEM32>\uzirljqw.exe'
- '<SYSTEM32>\oifqlbff.exe'
- '<SYSTEM32>\sekhhpcl.exe' /pid=3508
- '<SYSTEM32>\hvgprisf.exe'
- '<SYSTEM32>\vwvxfmqb.exe' /pid=3480
- '<SYSTEM32>\ichflwgv.exe'
- '<SYSTEM32>\apofokfk.exe'
- '<SYSTEM32>\afuplkmq.exe'
- '<SYSTEM32>\nrxzjgee.exe'
- '<SYSTEM32>\oiorjups.exe' /pid=3044
- '<SYSTEM32>\geicjmxe.exe'
- '<SYSTEM32>\eufqakls.exe'
- '<SYSTEM32>\oiorjups.exe'
- '<SYSTEM32>\cfibqxdv.exe'
- '<SYSTEM32>\wlorsayq.exe'
- '<SYSTEM32>\dainvhut.exe'
- '<SYSTEM32>\qzovecsf.exe'
- '<SYSTEM32>\quszchil.exe'
- '<SYSTEM32>\wbildcbv.exe'
- '<SYSTEM32>\cemkddic.exe'
- '<SYSTEM32>\fqtaayfv.exe'
- '<SYSTEM32>\ujeopwkt.exe'
- '<SYSTEM32>\tmlovydw.exe'
- '<SYSTEM32>\phriyswg.exe'
- '<SYSTEM32>\ewnuuite.exe'
- '<SYSTEM32>\whifofpb.exe'
- '<SYSTEM32>\sekhhpcl.exe'
- '<SYSTEM32>\tsmlqkrx.exe'
- '<SYSTEM32>\vwvxfmqb.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\uzirljqw.exe
- <SYSTEM32>\oifqlbff.exe
- <SYSTEM32>\hqlqzfsh.exe
- <SYSTEM32>\xxprwdmj.exe
- <SYSTEM32>\vskgnfbc.exe
- <SYSTEM32>\phriyswg.exe
- <SYSTEM32>\fqtaayfv.exe
- <SYSTEM32>\vpyevrzm.exe
- <SYSTEM32>\tmlovydw.exe
- <SYSTEM32>\rvlgkosw.exe
- <SYSTEM32>\apofokfk.exe
- <SYSTEM32>\sehnwuik.exe
- <SYSTEM32>\ichflwgv.exe
- <SYSTEM32>\hvgprisf.exe
- <SYSTEM32>\geicjmxe.exe
- <SYSTEM32>\macmvici.exe
- <SYSTEM32>\docjnqnw.exe
- <SYSTEM32>\afuplkmq.exe
- <SYSTEM32>\nrxzjgee.exe
- <SYSTEM32>\cemkddic.exe
- <SYSTEM32>\qzovecsf.exe
- <SYSTEM32>\dainvhut.exe
- <SYSTEM32>\wbildcbv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- <SYSTEM32>\quszchil.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\oiorjups.exe
- <SYSTEM32>\tsmlqkrx.exe
- <SYSTEM32>\vwvxfmqb.exe
- <SYSTEM32>\ujeopwkt.exe
- <SYSTEM32>\ewnuuite.exe
- <SYSTEM32>\whifofpb.exe
- <SYSTEM32>\wlorsayq.exe
- <SYSTEM32>\eufqakls.exe
- <SYSTEM32>\sekhhpcl.exe
- <SYSTEM32>\cfibqxdv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\xxprwdmj.exe
- <SYSTEM32>\uzirljqw.exe
- <SYSTEM32>\rvlgkosw.exe
- <SYSTEM32>\hqlqzfsh.exe
- <SYSTEM32>\vpyevrzm.exe
- <SYSTEM32>\tmlovydw.exe
- <SYSTEM32>\oifqlbff.exe
- <SYSTEM32>\vskgnfbc.exe
- <SYSTEM32>\docjnqnw.exe
- <SYSTEM32>\apofokfk.exe
- <SYSTEM32>\sehnwuik.exe
- <SYSTEM32>\ichflwgv.exe
- <SYSTEM32>\hvgprisf.exe
- <SYSTEM32>\nrxzjgee.exe
- <SYSTEM32>\macmvici.exe
- <SYSTEM32>\geicjmxe.exe
- <SYSTEM32>\afuplkmq.exe
- <SYSTEM32>\oiorjups.exe
- <SYSTEM32>\dainvhut.exe
- <SYSTEM32>\wlorsayq.exe
- <SYSTEM32>\eufqakls.exe
- <SYSTEM32>\qzovecsf.exe
- <SYSTEM32>\quszchil.exe
- <SYSTEM32>\wbildcbv.exe
- <SYSTEM32>\cemkddic.exe
- <SYSTEM32>\cfibqxdv.exe
- <SYSTEM32>\ujeopwkt.exe
- <SYSTEM32>\ewnuuite.exe
- <SYSTEM32>\phriyswg.exe
- <SYSTEM32>\fqtaayfv.exe
- <SYSTEM32>\whifofpb.exe
- <SYSTEM32>\sekhhpcl.exe
- <SYSTEM32>\tsmlqkrx.exe
- <SYSTEM32>\vwvxfmqb.exe
Удаляет следующие файлы:
- %TEMP%\~DFBCF0.tmp
- %TEMP%\~DF68F.tmp
- %TEMP%\~DF1EC2.tmp
- %TEMP%\~DFAB54.tmp
- %TEMP%\~DFB564.tmp
- %TEMP%\~DFFE4F.tmp
- %TEMP%\~DF17FF.tmp
- %TEMP%\~DFA350.tmp
- %TEMP%\~DFE81.tmp
- %TEMP%\~DF9163.tmp
- %TEMP%\~DFCBC9.tmp
- %TEMP%\~DFF4B0.tmp
- %TEMP%\~DF2C3D.tmp
- %TEMP%\~DFB31F.tmp
- %TEMP%\~DFC3B6.tmp
- %TEMP%\~DF13D1.tmp
- %TEMP%\~DF26E6.tmp
- %TEMP%\~DFFAB.tmp
- %TEMP%\~DFFC1D.tmp
- %TEMP%\~DF8781.tmp
- %TEMP%\~DFA067.tmp
- %TEMP%\~DFEAA1.tmp
- %TEMP%\~DFF49C.tmp
- %TEMP%\~DF8043.tmp
- %TEMP%\~DF99E0.tmp
- %TEMP%\~DFE301.tmp
- %TEMP%\~DF8F3B.tmp
- %TEMP%\~DFF6A1.tmp
- %TEMP%\~DFAFA.tmp
- %TEMP%\~DF9B94.tmp
- %TEMP%\~DFABB5.tmp
- %TEMP%\~DFF1EE.tmp
- %TEMP%\~DF2D7.tmp
- %TEMP%\~DF9353.tmp
- %TEMP%\~DFA844.tmp
- %TEMP%\~DF29E3.tmp
- %TEMP%\~DF3933.tmp
- %TEMP%\~DFCF81.tmp
- %TEMP%\~DFDEB6.tmp
- %TEMP%\~DF2095.tmp
- %TEMP%\~DF2F8D.tmp
- %TEMP%\~DFC618.tmp
- %TEMP%\~DFD57E.tmp
- %TEMP%\~DF4297.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- %TEMP%\~DF49E9.tmp
- %TEMP%\~DFDE66.tmp
- %TEMP%\~DF95B.tmp
- %TEMP%\~DFE854.tmp
- %TEMP%\~DF30EE.tmp
- %TEMP%\~DFB8DB.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DFBC99.tmp
- %TEMP%\~DFA27A.tmp
- %TEMP%\~DFB2A5.tmp
- %TEMP%\~DF5EE.tmp
- %TEMP%\~DF161E.tmp
- %TEMP%\~DF99FF.tmp
- %TEMP%\~DFAA20.tmp
- %TEMP%\~DFFD2A.tmp
- %TEMP%\~DFCCA.tmp
- %TEMP%\~DFBACF.tmp
- %TEMP%\~DFB34F.tmp
- %TEMP%\~DF2701.tmp
- %TEMP%\~DFCBC0.tmp
- %TEMP%\~DF1720.tmp
- %TEMP%\~DF1EAB.tmp
- %TEMP%\~DFABB3.tmp
- %TEMP%\~DFC3E0.tmp
- %TEMP%\~DFD80.tmp
Сетевая активность:
Подключается к:
- 'localhost':1085
- 'localhost':1083
- 'localhost':1089
- 'localhost':1087
- 'localhost':1081
- 'localhost':1075
- 'localhost':1073
- 'localhost':1079
- 'localhost':1077
- 'localhost':1103
- 'localhost':1101
- 'localhost':1107
- 'localhost':1105
- 'localhost':1099
- 'localhost':1093
- 'localhost':1091
- 'localhost':1097
- 'localhost':1095
- 'localhost':1049
- 'localhost':1047
- 'localhost':1053
- 'localhost':1051
- 'localhost':1045
- 'pd###.egloos.com':80
- 'localhost':1038
- 'localhost':1043
- 'localhost':1041
- 'localhost':1067
- 'localhost':1065
- 'localhost':1071
- 'localhost':1069
- 'localhost':1063
- 'localhost':1057
- 'localhost':1055
- 'localhost':1061
- 'localhost':1059
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
