Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\opbcutro.exe'
- '<SYSTEM32>\esxmanbc.exe' /pid=2600
- '<SYSTEM32>\fmkgzxmb.exe'
- '<SYSTEM32>\wjqcykfh.exe'
- '<SYSTEM32>\vgrxepog.exe'
- '<SYSTEM32>\rjwfldrf.exe' /pid=2672
- '<SYSTEM32>\zzvdaibk.exe'
- '<SYSTEM32>\hwdtwdtj.exe'
- '<SYSTEM32>\whvxhgjz.exe'
- '<SYSTEM32>\gpcudtrg.exe'
- '<SYSTEM32>\ycpmrgxb.exe'
- '<SYSTEM32>\nrzvofuj.exe'
- '<SYSTEM32>\ueyptcky.exe'
- '<SYSTEM32>\qsilysqx.exe'
- '<SYSTEM32>\rjwfldrf.exe'
- '<SYSTEM32>\fyiqghxx.exe'
- '<SYSTEM32>\reasezqc.exe'
- '<SYSTEM32>\ysdcmksu.exe'
- '<SYSTEM32>\rkzmhbzu.exe'
- '<SYSTEM32>\esxmanbc.exe'
- '<SYSTEM32>\goysfbwy.exe'
- '<SYSTEM32>\qdubjewz.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: '(null)'
- ClassName: 'OLLYDBG' WindowName: '(null)'
- ClassName: 'FilemonClass' WindowName: '(null)'
- ClassName: 'pediy06' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\fmkgzxmb.exe
- <SYSTEM32>\opbcutro.exe
- <SYSTEM32>\vgrxepog.exe
- <SYSTEM32>\rkzmhbzu.exe
- <SYSTEM32>\wjqcykfh.exe
- <SYSTEM32>\zzvdaibk.exe
- <SYSTEM32>\hwdtwdtj.exe
- <SYSTEM32>\whvxhgjz.exe
- <SYSTEM32>\gpcudtrg.exe
- <SYSTEM32>\ycpmrgxb.exe
- <SYSTEM32>\ysdcmksu.exe
- <SYSTEM32>\qsilysqx.exe
- <SYSTEM32>\nrzvofuj.exe
- <SYSTEM32>\fyiqghxx.exe
- <SYSTEM32>\rjwfldrf.exe
- <SYSTEM32>\qdubjewz.exe
- <SYSTEM32>\esxmanbc.exe
- <SYSTEM32>\goysfbwy.exe
- <SYSTEM32>\ueyptcky.exe
- <SYSTEM32>\reasezqc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\fmkgzxmb.exe
- <SYSTEM32>\opbcutro.exe
- <SYSTEM32>\vgrxepog.exe
- <SYSTEM32>\rkzmhbzu.exe
- <SYSTEM32>\wjqcykfh.exe
- <SYSTEM32>\zzvdaibk.exe
- <SYSTEM32>\hwdtwdtj.exe
- <SYSTEM32>\whvxhgjz.exe
- <SYSTEM32>\gpcudtrg.exe
- <SYSTEM32>\ycpmrgxb.exe
- <SYSTEM32>\nrzvofuj.exe
- <SYSTEM32>\ueyptcky.exe
- <SYSTEM32>\qsilysqx.exe
- <SYSTEM32>\rjwfldrf.exe
- <SYSTEM32>\fyiqghxx.exe
- <SYSTEM32>\esxmanbc.exe
- <SYSTEM32>\ysdcmksu.exe
- <SYSTEM32>\qdubjewz.exe
- <SYSTEM32>\reasezqc.exe
- <SYSTEM32>\goysfbwy.exe
Удаляет следующие файлы:
- %TEMP%\~DFB25D.tmp
- %TEMP%\~DFE385.tmp
- %TEMP%\~DF38CB.tmp
- %TEMP%\~DF959E.tmp
- %TEMP%\~DFF53.tmp
- %TEMP%\~DFD01D.tmp
- %TEMP%\~DFD7DA.tmp
- %TEMP%\~DF5D32.tmp
- %TEMP%\~DF85D7.tmp
- %TEMP%\~DFEC96.tmp
- %TEMP%\~DF1733.tmp
- %TEMP%\~DF903D.tmp
- %TEMP%\~DFAA0B.tmp
- %TEMP%\~DF45B6.tmp
- %TEMP%\~DFDAA9.tmp
- %TEMP%\~DF1B6A.tmp
- %TEMP%\~DF7AD2.tmp
- %TEMP%\~DFBDBF.tmp
- %TEMP%\~DF7646.tmp
- %TEMP%\~DFD893.tmp
- %TEMP%\~DFFC93.tmp
- %TEMP%\~DF752B.tmp
- %TEMP%\~DFEFD9.tmp
- %TEMP%\~DFD881.tmp
- %TEMP%\~DFCBAD.tmp
- %TEMP%\~DF54DB.tmp
- %TEMP%\~DF6995.tmp
- %TEMP%\~DF8E33.tmp
- %TEMP%\~DF94B2.tmp
- %TEMP%\~DF1605.tmp
- %TEMP%\~DF5152.tmp
- %TEMP%\~DF7EF.tmp
- %TEMP%\~DF82D1.tmp
- %TEMP%\~DFFB32.tmp
- %TEMP%\~DFA5A.tmp
- %TEMP%\~DF81A3.tmp
Сетевая активность:
Подключается к:
- 'bl##.naver.com':80
TCP:
Запросы HTTP GET:
- bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
UDP:
- DNS ASK bl##.naver.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '18467-41' WindowName: '(null)'
