Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\nohwjczv.exe'
- '<SYSTEM32>\jwynzuuq.exe'
- '<SYSTEM32>\bbzbqwmf.exe'
- '<SYSTEM32>\atfxxofc.exe'
- '<SYSTEM32>\ilpbsfac.exe'
- '<SYSTEM32>\sakcemkr.exe'
- '<SYSTEM32>\bzjtfpar.exe'
- '<SYSTEM32>\syvgwnof.exe'
- '<SYSTEM32>\epyrjyuy.exe'
- '<SYSTEM32>\cmbpmwoa.exe'
- '<SYSTEM32>\hwfvpige.exe'
- '<SYSTEM32>\miggvvud.exe'
- '<SYSTEM32>\svclaina.exe'
- '<SYSTEM32>\szlsoigb.exe'
- '<SYSTEM32>\mnhkqedq.exe'
- '<SYSTEM32>\rqxgcyjq.exe'
- '<SYSTEM32>\cysciwpw.exe'
- '<SYSTEM32>\ckgmihiv.exe'
- '<SYSTEM32>\wvjweqgo.exe'
- '<SYSTEM32>\frhnuifr.exe'
- '<SYSTEM32>\pxyuvdfi.exe'
- '<SYSTEM32>\rkwaptcw.exe'
- '<SYSTEM32>\vwterfym.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\bbzbqwmf.exe
- <SYSTEM32>\nohwjczv.exe
- <SYSTEM32>\jwynzuuq.exe
- <SYSTEM32>\miggvvud.exe
- <SYSTEM32>\atfxxofc.exe
- <SYSTEM32>\ilpbsfac.exe
- <SYSTEM32>\epyrjyuy.exe
- <SYSTEM32>\bzjtfpar.exe
- <SYSTEM32>\syvgwnof.exe
- <SYSTEM32>\sakcemkr.exe
- <SYSTEM32>\cmbpmwoa.exe
- <SYSTEM32>\hwfvpige.exe
- <SYSTEM32>\mnhkqedq.exe
- <SYSTEM32>\svclaina.exe
- <SYSTEM32>\szlsoigb.exe
- <SYSTEM32>\rqxgcyjq.exe
- <SYSTEM32>\cysciwpw.exe
- <SYSTEM32>\pxyuvdfi.exe
- <SYSTEM32>\wvjweqgo.exe
- <SYSTEM32>\frhnuifr.exe
- <SYSTEM32>\ckgmihiv.exe
- <SYSTEM32>\rkwaptcw.exe
- <SYSTEM32>\vwterfym.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\nohwjczv.exe
- <SYSTEM32>\jwynzuuq.exe
- <SYSTEM32>\bbzbqwmf.exe
- <SYSTEM32>\atfxxofc.exe
- <SYSTEM32>\ilpbsfac.exe
- <SYSTEM32>\sakcemkr.exe
- <SYSTEM32>\bzjtfpar.exe
- <SYSTEM32>\syvgwnof.exe
- <SYSTEM32>\epyrjyuy.exe
- <SYSTEM32>\cmbpmwoa.exe
- <SYSTEM32>\hwfvpige.exe
- <SYSTEM32>\miggvvud.exe
- <SYSTEM32>\svclaina.exe
- <SYSTEM32>\szlsoigb.exe
- <SYSTEM32>\mnhkqedq.exe
- <SYSTEM32>\rqxgcyjq.exe
- <SYSTEM32>\cysciwpw.exe
- <SYSTEM32>\ckgmihiv.exe
- <SYSTEM32>\wvjweqgo.exe
- <SYSTEM32>\frhnuifr.exe
- <SYSTEM32>\pxyuvdfi.exe
- <SYSTEM32>\rkwaptcw.exe
- <SYSTEM32>\vwterfym.exe
Удаляет следующие файлы:
- %TEMP%\~DFDEDF.tmp
- %TEMP%\~DF5D45.tmp
- %TEMP%\~DF1F26.tmp
- %TEMP%\~DFBB46.tmp
- %TEMP%\~DF8CB8.tmp
- %TEMP%\~DFA912.tmp
- %TEMP%\~DFECB2.tmp
- %TEMP%\~DFBBD6.tmp
- %TEMP%\~DF2691.tmp
- %TEMP%\~DF6129.tmp
- %TEMP%\~DF6807.tmp
- %TEMP%\~DF2BBD.tmp
- %TEMP%\~DF5BE8.tmp
- %TEMP%\~DFBD65.tmp
- %TEMP%\~DF75E5.tmp
- %TEMP%\~DFE487.tmp
- %TEMP%\~DF2206.tmp
- %TEMP%\~DF5778.tmp
- %TEMP%\~DFB9B5.tmp
- %TEMP%\~DF7334.tmp
- %TEMP%\~DFBEE3.tmp
- %TEMP%\~DFE20.tmp
- %TEMP%\~DFE769.tmp
- %TEMP%\~DF2BBC.tmp
- %TEMP%\~DFEF44.tmp
- %TEMP%\~DF5065.tmp
- %TEMP%\~DF93FB.tmp
- %TEMP%\~DF803.tmp
- %TEMP%\~DF25B9.tmp
- %TEMP%\~DFEBAD.tmp
- %TEMP%\~DF4CEC.tmp
- %TEMP%\~DF9BAF.tmp
- %TEMP%\~DF50DC.tmp
- %TEMP%\~DFD07.tmp
- %TEMP%\~DFB40.tmp
- %TEMP%\~DFA64F.tmp
- %TEMP%\~DF5533.tmp
- %TEMP%\~DFAC81.tmp
- %TEMP%\~DF900.tmp
- %TEMP%\~DFEAA2.tmp
- %TEMP%\~DFA216.tmp
- %TEMP%\~DF57BD.tmp
- %TEMP%\~DFA9D7.tmp
Сетевая активность:
Подключается к:
- 'localhost':1065
- 'localhost':1067
- 'localhost':1069
- 'localhost':1059
- 'localhost':1061
- 'localhost':1063
- 'localhost':1077
- 'localhost':1079
- 'localhost':1081
- 'localhost':1071
- 'localhost':1073
- 'localhost':1075
- 'localhost':1041
- 'localhost':1043
- 'localhost':1045
- 'bl##.naver.com':80
- 'localhost':1037
- 'localhost':1039
- 'localhost':1053
- 'localhost':1055
- 'localhost':1057
- 'localhost':1047
- 'localhost':1049
- 'localhost':1051
TCP:
Запросы HTTP GET:
- bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
UDP:
- DNS ASK bl##.naver.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
