Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\atowvaif.exe'
- '<SYSTEM32>\bgchrxiq.exe'
- '<SYSTEM32>\zjgisrxb.exe'
- '<SYSTEM32>\mnknatjo.exe'
- '<SYSTEM32>\rzfzixrt.exe'
- '<SYSTEM32>\vohyhhpr.exe'
- '<SYSTEM32>\pdmubpmd.exe'
- '<SYSTEM32>\zyvojlhv.exe'
- '<SYSTEM32>\owvcffho.exe'
- '<SYSTEM32>\uhefport.exe'
- '<SYSTEM32>\vjasnfnj.exe'
- '<SYSTEM32>\qpxlmwpy.exe'
- '<SYSTEM32>\jwrynjra.exe'
- '<SYSTEM32>\wtzlpzjp.exe'
- '<SYSTEM32>\vdgqtruy.exe'
- '<SYSTEM32>\kcnfbuva.exe'
- '<SYSTEM32>\kjpkmtsk.exe'
- '<SYSTEM32>\lylfzwul.exe'
- '<SYSTEM32>\kktdzsmv.exe'
- '<SYSTEM32>\joojawoa.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\zjgisrxb.exe
- <SYSTEM32>\atowvaif.exe
- <SYSTEM32>\bgchrxiq.exe
- <SYSTEM32>\kjpkmtsk.exe
- <SYSTEM32>\mnknatjo.exe
- <SYSTEM32>\rzfzixrt.exe
- <SYSTEM32>\vohyhhpr.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
- <SYSTEM32>\pdmubpmd.exe
- <SYSTEM32>\owvcffho.exe
- <SYSTEM32>\uhefport.exe
- <SYSTEM32>\zyvojlhv.exe
- <SYSTEM32>\kcnfbuva.exe
- <SYSTEM32>\wtzlpzjp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- <SYSTEM32>\vdgqtruy.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\kktdzsmv.exe
- <SYSTEM32>\joojawoa.exe
- <SYSTEM32>\lylfzwul.exe
- <SYSTEM32>\jwrynjra.exe
- <SYSTEM32>\vjasnfnj.exe
- <SYSTEM32>\qpxlmwpy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\atowvaif.exe
- <SYSTEM32>\bgchrxiq.exe
- <SYSTEM32>\zjgisrxb.exe
- <SYSTEM32>\mnknatjo.exe
- <SYSTEM32>\rzfzixrt.exe
- <SYSTEM32>\vohyhhpr.exe
- <SYSTEM32>\pdmubpmd.exe
- <SYSTEM32>\zyvojlhv.exe
- <SYSTEM32>\owvcffho.exe
- <SYSTEM32>\uhefport.exe
- <SYSTEM32>\vjasnfnj.exe
- <SYSTEM32>\qpxlmwpy.exe
- <SYSTEM32>\jwrynjra.exe
- <SYSTEM32>\wtzlpzjp.exe
- <SYSTEM32>\vdgqtruy.exe
- <SYSTEM32>\kcnfbuva.exe
- <SYSTEM32>\kjpkmtsk.exe
- <SYSTEM32>\lylfzwul.exe
- <SYSTEM32>\kktdzsmv.exe
- <SYSTEM32>\joojawoa.exe
Удаляет следующие файлы:
- %TEMP%\~DF8F5E.tmp
- %TEMP%\~DFD008.tmp
- %TEMP%\~DF8C7B.tmp
- %TEMP%\~DF6872.tmp
- %TEMP%\~DF6A4C.tmp
- %TEMP%\~DF3963.tmp
- %TEMP%\~DF3937.tmp
- %TEMP%\~DFF4F1.tmp
- %TEMP%\~DFB255.tmp
- %TEMP%\~DF1551.tmp
- %TEMP%\~DFA07.tmp
- %TEMP%\~DFFCDA.tmp
- %TEMP%\~DF362.tmp
- %TEMP%\~DFE291.tmp
- %TEMP%\~DFE5EA.tmp
- %TEMP%\~DF4490.tmp
- %TEMP%\~DF469E.tmp
- %TEMP%\~DF22C3.tmp
- %TEMP%\~DF2C69.tmp
- %TEMP%\~DF20B4.tmp
- %TEMP%\~DFA205.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DFC2B9.tmp
- %TEMP%\~DF7C89.tmp
- %TEMP%\~DF1A11.tmp
- %TEMP%\~DF1D08.tmp
- %TEMP%\~DFFC55.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- %TEMP%\~DFD153.tmp
- %TEMP%\~DFE8A4.tmp
- %TEMP%\~DFA453.tmp
- %TEMP%\~DF2976.tmp
- %TEMP%\~DF52A.tmp
- %TEMP%\~DF7E45.tmp
- %TEMP%\~DF5EF6.tmp
- %TEMP%\~DFF54D.tmp
- %TEMP%\~DFD59C.tmp
- %TEMP%\~DF4F9E.tmp
- %TEMP%\~DF2A71.tmp
- %TEMP%\~DFB018.tmp
Сетевая активность:
Подключается к:
- 'localhost':1063
- 'localhost':1065
- 'localhost':1061
- 'localhost':1057
- 'localhost':1059
- 'localhost':1067
- 'localhost':1075
- 'localhost':1077
- 'localhost':1073
- 'localhost':1069
- 'localhost':1071
- 'localhost':1041
- 'localhost':1043
- 'localhost':1039
- 'localhost':1036
- 'pd###.egloos.com':80
- 'localhost':1045
- 'localhost':1053
- 'localhost':1055
- 'localhost':1051
- 'localhost':1047
- 'localhost':1049
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
