Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\cbdhiiuc.exe'
- '<SYSTEM32>\whqnsyey.exe'
- '<SYSTEM32>\gyhvfrzq.exe'
- '<SYSTEM32>\cvaswmni.exe'
- '<SYSTEM32>\hqxjohmj.exe'
- '<SYSTEM32>\soqalaxj.exe'
- '<SYSTEM32>\kjyhmmgd.exe'
- '<SYSTEM32>\lkcgdwgb.exe'
- '<SYSTEM32>\djwjbefc.exe'
- '<SYSTEM32>\zyiqssqb.exe'
- '<SYSTEM32>\hfhuiitq.exe'
- '<SYSTEM32>\bfbdetia.exe'
- '<SYSTEM32>\qqmgmsry.exe'
- '<SYSTEM32>\gbdaatgl.exe'
- '<SYSTEM32>\arfeevii.exe'
- '<SYSTEM32>\njqvnbgi.exe'
- '<SYSTEM32>\xkwaaeeo.exe'
- '<SYSTEM32>\eqytaada.exe'
- '<SYSTEM32>\qufyybnq.exe'
- '<SYSTEM32>\chnhiwak.exe'
- '<SYSTEM32>\bieubjfw.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\hqxjohmj.exe
- <SYSTEM32>\gyhvfrzq.exe
- <SYSTEM32>\cbdhiiuc.exe
- <SYSTEM32>\eqytaada.exe
- <SYSTEM32>\hfhuiitq.exe
- <SYSTEM32>\cvaswmni.exe
- <SYSTEM32>\lkcgdwgb.exe
- <SYSTEM32>\soqalaxj.exe
- <SYSTEM32>\kjyhmmgd.exe
- <SYSTEM32>\whqnsyey.exe
- <SYSTEM32>\djwjbefc.exe
- <SYSTEM32>\zyiqssqb.exe
- <SYSTEM32>\xkwaaeeo.exe
- <SYSTEM32>\arfeevii.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- <SYSTEM32>\njqvnbgi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\chnhiwak.exe
- <SYSTEM32>\bieubjfw.exe
- <SYSTEM32>\qufyybnq.exe
- <SYSTEM32>\gbdaatgl.exe
- <SYSTEM32>\bfbdetia.exe
- <SYSTEM32>\qqmgmsry.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\cbdhiiuc.exe
- <SYSTEM32>\whqnsyey.exe
- <SYSTEM32>\gyhvfrzq.exe
- <SYSTEM32>\cvaswmni.exe
- <SYSTEM32>\hqxjohmj.exe
- <SYSTEM32>\soqalaxj.exe
- <SYSTEM32>\kjyhmmgd.exe
- <SYSTEM32>\lkcgdwgb.exe
- <SYSTEM32>\djwjbefc.exe
- <SYSTEM32>\zyiqssqb.exe
- <SYSTEM32>\hfhuiitq.exe
- <SYSTEM32>\bfbdetia.exe
- <SYSTEM32>\qqmgmsry.exe
- <SYSTEM32>\gbdaatgl.exe
- <SYSTEM32>\arfeevii.exe
- <SYSTEM32>\njqvnbgi.exe
- <SYSTEM32>\xkwaaeeo.exe
- <SYSTEM32>\eqytaada.exe
- <SYSTEM32>\qufyybnq.exe
- <SYSTEM32>\chnhiwak.exe
- <SYSTEM32>\bieubjfw.exe
Удаляет следующие файлы:
- %TEMP%\~DF66.tmp
- %TEMP%\~DFCC07.tmp
- %TEMP%\~DF3E26.tmp
- %TEMP%\~DFF16E.tmp
- %TEMP%\~DFB38D.tmp
- %TEMP%\~DF444A.tmp
- %TEMP%\~DF84F.tmp
- %TEMP%\~DF7954.tmp
- %TEMP%\~DF2BDD.tmp
- %TEMP%\~DF191B.tmp
- %TEMP%\~DF25A0.tmp
- %TEMP%\~DF3C77.tmp
- %TEMP%\~DFFE93.tmp
- %TEMP%\~DF6FAF.tmp
- %TEMP%\~DF2403.tmp
- %TEMP%\~DFF3A5.tmp
- %TEMP%\~DFD8E0.tmp
- %TEMP%\~DF63AE.tmp
- %TEMP%\~DF184F.tmp
- %TEMP%\~DF881A.tmp
- %TEMP%\~DF4B03.tmp
- %TEMP%\~DFBC4C.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DFD0A4.tmp
- %TEMP%\~DF96DC.tmp
- %TEMP%\~DF2BFD.tmp
- %TEMP%\~DFFAB.tmp
- %TEMP%\~DF28DF.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- %TEMP%\~DF1061.tmp
- %TEMP%\~DFE9A6.tmp
- %TEMP%\~DFDDE3.tmp
- %TEMP%\~DFE699.tmp
- %TEMP%\~DF6E86.tmp
- %TEMP%\~DF20AC.tmp
- %TEMP%\~DF91A2.tmp
- %TEMP%\~DF5620.tmp
- %TEMP%\~DF4E26.tmp
- %TEMP%\~DF1367.tmp
- %TEMP%\~DFC541.tmp
- %TEMP%\~DF3532.tmp
- %TEMP%\~DFFF61.tmp
Сетевая активность:
Подключается к:
- 'localhost':1065
- 'localhost':1067
- 'localhost':1063
- 'localhost':1059
- 'localhost':1061
- 'localhost':1069
- 'localhost':1077
- 'localhost':1079
- 'localhost':1075
- 'localhost':1071
- 'localhost':1073
- 'localhost':1057
- 'localhost':1041
- 'localhost':1043
- 'localhost':1039
- 'localhost':1036
- 'pd###.egloos.com':80
- 'localhost':1045
- 'localhost':1053
- 'localhost':1055
- 'localhost':1051
- 'localhost':1047
- 'localhost':1049
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
