Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\xbkk.exe'
- '%TEMP%\kbgmfm.exe'
- '%TEMP%\-1998166001'
- '%TEMP%\wgyrpdtp.exe'
- '%TEMP%\rfnunebl.exe'
- '%TEMP%\vrrqhrdi.exe'
- '%TEMP%\xfmnh.exe'
- '%TEMP%\lkhwo.exe'
- '%TEMP%\krjuimnn.exe'
- '%TEMP%\ppvijkl.exe'
- '%TEMP%\bvodv.exe'
- '%TEMP%\wqjwpj.exe'
- '%TEMP%\lkhwo.exe' (загружен из сети Интернет)
- '%TEMP%\wgyrpdtp.exe' (загружен из сети Интернет)
- '%TEMP%\-1998166001' (загружен из сети Интернет)
- '%TEMP%\rfnunebl.exe' (загружен из сети Интернет)
- '%TEMP%\bvodv.exe' (загружен из сети Интернет)
- '%TEMP%\wqjwpj.exe' (загружен из сети Интернет)
- '%TEMP%\ppvijkl.exe' (загружен из сети Интернет)
- '%TEMP%\krjuimnn.exe' (загружен из сети Интернет)
- '%TEMP%\xfmnh.exe' (загружен из сети Интернет)
- '%TEMP%\vrrqhrdi.exe' (загружен из сети Интернет)
- '%TEMP%\kbgmfm.exe' (загружен из сети Интернет)
- '%TEMP%\xbkk.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lpkezhfmu[1].php
- %TEMP%\rfnunebl.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kxszhbwdcj[1].php
- %TEMP%\xfmnh.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\neygn[1].php
- %TEMP%\vrrqhrdi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vvqkfy[1].php
- %TEMP%\lkhwo.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ffaucji[1].php
- %TEMP%\wgyrpdtp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\vytxsmu[1].php
- %TEMP%\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\qdlsn[1].php
- %TEMP%\krjuimnn.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\neipnvqx[1].php
- %TEMP%\bvodv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\sjaipk[1].php
- %TEMP%\ppvijkl.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\jjdlsnvtov[1].php
- %TEMP%\kbgmfm.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hytniqkszx[1].php
- %TEMP%\xbkk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ofmupwryg[1].php
- %TEMP%\wqjwpj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lpkez[1].php
Удаляет следующие файлы:
- <SYSTEM32>\svchost.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'cb##ase.com':80
TCP:
Запросы HTTP GET:
- cb##ase.com/pimuowecw/kxszhbwdcj.php?ad########
- cb##ase.com/pimuowecw/lpkezhfmu.php?ad########
- cb##ase.com/pimuowecw/neygn.php?ad########
- cb##ase.com/pimuowecw/ffaucji.php?ad#################################################
- cb##ase.com/pimuowecw/vvqkfy.php?ad########
- cb##ase.com/pimuowecw/vytxsmu.php?ad########
- cb##ase.com/pimuowecw/qdlsn.php?ad########
- cb##ase.com/pimuowecw/neipnvqx.php?ad########
- cb##ase.com/pimuowecw/jjdlsnvtov.php?ad########
- cb##ase.com/pimuowecw/sjaipk.php?ad########
- cb##ase.com/pimuowecw/hytniqkszx.php?ad########
- cb##ase.com/pimuowecw/lpkez.php?ad########
- cb##ase.com/pimuowecw/ofmupwryg.php?ad########
UDP:
- DNS ASK cb##ase.com
