Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\ocrftjrd.exe'
- '<SYSTEM32>\okebwzua.exe'
- '<SYSTEM32>\bcmwmvoe.exe'
- '<SYSTEM32>\sttqzdks.exe'
- '<SYSTEM32>\hojzmgph.exe'
- '<SYSTEM32>\umyfuuxc.exe'
- '<SYSTEM32>\rvvckzxi.exe'
- '<SYSTEM32>\spxsiape.exe'
- '<SYSTEM32>\acsiilfs.exe'
- '<SYSTEM32>\xwkvbmob.exe'
- '<SYSTEM32>\rfcntjvb.exe'
- '<SYSTEM32>\jznpheyg.exe'
- '<SYSTEM32>\nzypwlcg.exe'
- '<SYSTEM32>\qblowqlu.exe'
- '<SYSTEM32>\fpezenxj.exe'
- '<SYSTEM32>\qqlbtvhp.exe'
- '<SYSTEM32>\vidqbdoa.exe'
- '<SYSTEM32>\dtjibyvj.exe'
- '<SYSTEM32>\nohcxelh.exe'
- '<SYSTEM32>\xeppljux.exe'
- '<SYSTEM32>\wsnxegqg.exe'
- '<SYSTEM32>\qcngprpo.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ocrftjrd.exe
- <SYSTEM32>\okebwzua.exe
- <SYSTEM32>\bcmwmvoe.exe
- <SYSTEM32>\sttqzdks.exe
- <SYSTEM32>\hojzmgph.exe
- <SYSTEM32>\umyfuuxc.exe
- <SYSTEM32>\rvvckzxi.exe
- <SYSTEM32>\spxsiape.exe
- <SYSTEM32>\acsiilfs.exe
- <SYSTEM32>\xwkvbmob.exe
- <SYSTEM32>\rfcntjvb.exe
- <SYSTEM32>\nohcxelh.exe
- <SYSTEM32>\qblowqlu.exe
- <SYSTEM32>\jznpheyg.exe
- <SYSTEM32>\qqlbtvhp.exe
- <SYSTEM32>\fpezenxj.exe
- <SYSTEM32>\nzypwlcg.exe
- <SYSTEM32>\xeppljux.exe
- <SYSTEM32>\dtjibyvj.exe
- <SYSTEM32>\qcngprpo.exe
- <SYSTEM32>\vidqbdoa.exe
- <SYSTEM32>\wsnxegqg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ocrftjrd.exe
- <SYSTEM32>\okebwzua.exe
- <SYSTEM32>\bcmwmvoe.exe
- <SYSTEM32>\sttqzdks.exe
- <SYSTEM32>\hojzmgph.exe
- <SYSTEM32>\umyfuuxc.exe
- <SYSTEM32>\rvvckzxi.exe
- <SYSTEM32>\spxsiape.exe
- <SYSTEM32>\acsiilfs.exe
- <SYSTEM32>\xwkvbmob.exe
- <SYSTEM32>\rfcntjvb.exe
- <SYSTEM32>\jznpheyg.exe
- <SYSTEM32>\nzypwlcg.exe
- <SYSTEM32>\qblowqlu.exe
- <SYSTEM32>\fpezenxj.exe
- <SYSTEM32>\qqlbtvhp.exe
- <SYSTEM32>\vidqbdoa.exe
- <SYSTEM32>\dtjibyvj.exe
- <SYSTEM32>\nohcxelh.exe
- <SYSTEM32>\xeppljux.exe
- <SYSTEM32>\wsnxegqg.exe
- <SYSTEM32>\qcngprpo.exe
Удаляет следующие файлы:
- %TEMP%\~DF6660.tmp
- %TEMP%\~DF5ED5.tmp
- %TEMP%\~DFB6.tmp
- %TEMP%\~DF5AC4.tmp
- %TEMP%\~DFF958.tmp
- %TEMP%\~DF63D0.tmp
- %TEMP%\~DF7DC5.tmp
- %TEMP%\~DF1137.tmp
- %TEMP%\~DFFE06.tmp
- %TEMP%\~DFC859.tmp
- %TEMP%\~DF6287.tmp
- %TEMP%\~DF4F9A.tmp
- %TEMP%\~DF2AA4.tmp
- %TEMP%\~DF933.tmp
- %TEMP%\~DFC2C1.tmp
- %TEMP%\~DFEE35.tmp
- %TEMP%\~DFFC7C.tmp
- %TEMP%\~DFF05A.tmp
- %TEMP%\~DFC3D6.tmp
- %TEMP%\~DF8BE7.tmp
- %TEMP%\~DF5E17.tmp
- %TEMP%\~DF8B09.tmp
- %TEMP%\~DFEB32.tmp
- %TEMP%\~DF92C5.tmp
- %TEMP%\~DFF342.tmp
- %TEMP%\~DFEB79.tmp
- %TEMP%\~DF3E6.tmp
- %TEMP%\~DFE688.tmp
- %TEMP%\~DF9049.tmp
- %TEMP%\~DFF041.tmp
- %TEMP%\~DF95CA.tmp
- %TEMP%\~DF9CFD.tmp
- %TEMP%\~DF4108.tmp
- %TEMP%\~DF6D9D.tmp
- %TEMP%\~DFE97.tmp
- %TEMP%\~DFC8C5.tmp
- %TEMP%\~DFDB48.tmp
- %TEMP%\~DF3D0B.tmp
- %TEMP%\~DF8DE1.tmp
- %TEMP%\~DFEE58.tmp
- %TEMP%\~DFA21E.tmp
- %TEMP%\~DFD83B.tmp
Сетевая активность:
Подключается к:
- 'localhost':1065
- 'localhost':1067
- 'localhost':1069
- 'localhost':1059
- 'localhost':1061
- 'localhost':1063
- 'localhost':1077
- 'localhost':1079
- 'localhost':1081
- 'localhost':1071
- 'localhost':1073
- 'localhost':1075
- 'localhost':1041
- 'localhost':1043
- 'localhost':1045
- 'bl##.naver.com':80
- 'localhost':1037
- 'localhost':1039
- 'localhost':1053
- 'localhost':1055
- 'localhost':1057
- 'localhost':1047
- 'localhost':1049
- 'localhost':1051
TCP:
Запросы HTTP GET:
- bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
UDP:
- DNS ASK bl##.naver.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
