Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\hjbfenve.exe' /pid=4052
- '<SYSTEM32>\hjbfenve.exe' /pid=3900
- '<SYSTEM32>\qoznczaf.exe'
- '<SYSTEM32>\bcmumexr.exe' /pid=4060
- '<SYSTEM32>\nbpalazl.exe' /pid=3768
- '<SYSTEM32>\hjbfenve.exe' /pid=3712
- '<SYSTEM32>\nbpalazl.exe' /pid=4032
- '<SYSTEM32>\hjbfenve.exe' /pid=3732
- '<SYSTEM32>\twuggkoc.exe' /pid=248
- '<SYSTEM32>\bcmumexr.exe' /pid=2764
- '<SYSTEM32>\uetdvxcz.exe' /pid=2816
- '<SYSTEM32>\bcmumexr.exe' /pid=2040
- '<SYSTEM32>\bcmumexr.exe' /pid=2836
- '<SYSTEM32>\nbpalazl.exe' /pid=2656
- '<SYSTEM32>\bcmumexr.exe' /pid=2692
- '<SYSTEM32>\nbpalazl.exe' /pid=2688
- '<SYSTEM32>\bcmumexr.exe' /pid=2732
- '<SYSTEM32>\uetdvxcz.exe' /pid=3660
- '<SYSTEM32>\elmigwxp.exe'
- '<SYSTEM32>\twuggkoc.exe'
- '<SYSTEM32>\uetdvxcz.exe' /pid=3028
- '<SYSTEM32>\bcmumexr.exe' /pid=2824
- '<SYSTEM32>\uetdvxcz.exe'
- '<SYSTEM32>\bcmumexr.exe'
- '<SYSTEM32>\hjbfenve.exe'
- '<SYSTEM32>\nbpalazl.exe'
- '<SYSTEM32>\bcmumexr.exe' /pid=3052
- '<SYSTEM32>\uetdvxcz.exe' /pid=3480
- '<SYSTEM32>\yxdxudyq.exe'
- '<SYSTEM32>\nbpalazl.exe' /pid=3640
- '<SYSTEM32>\nbpalazl.exe' /pid=3500
- '<SYSTEM32>\bcmumexr.exe' /pid=3092
- '<SYSTEM32>\uetdvxcz.exe' /pid=2948
- '<SYSTEM32>\bcmumexr.exe' /pid=3104
- '<SYSTEM32>\uetdvxcz.exe' /pid=2960
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\elmigwxp.exe
- <SYSTEM32>\twuggkoc.exe
- <SYSTEM32>\yxdxudyq.exe
- <SYSTEM32>\izneodkp.exe
- <SYSTEM32>\qoznczaf.exe
- <SYSTEM32>\hjbfenve.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\bcmumexr.exe
- <SYSTEM32>\nbpalazl.exe
- <SYSTEM32>\uetdvxcz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\yxdxudyq.exe
- <SYSTEM32>\elmigwxp.exe
- <SYSTEM32>\izneodkp.exe
- <SYSTEM32>\qoznczaf.exe
- <SYSTEM32>\twuggkoc.exe
- <SYSTEM32>\uetdvxcz.exe
- <SYSTEM32>\bcmumexr.exe
- <SYSTEM32>\hjbfenve.exe
- <SYSTEM32>\nbpalazl.exe
Удаляет следующие файлы:
- %TEMP%\~DF7E6E.tmp
- %TEMP%\~DF69CE.tmp
- %TEMP%\~DF6F2A.tmp
- %TEMP%\~DF86DE.tmp
- %TEMP%\~DF39AA.tmp
- %TEMP%\~DF371A.tmp
- %TEMP%\~DF30BB.tmp
- %TEMP%\~DF33F3.tmp
- %TEMP%\~DF3232.tmp
- %TEMP%\~DF85DF.tmp
- %TEMP%\~DFE5E3.tmp
- %TEMP%\~DFD8A2.tmp
- %TEMP%\~DF1AF5.tmp
- %TEMP%\~DFF5B4.tmp
- %TEMP%\~DFCDCC.tmp
- %TEMP%\~DF961E.tmp
- %TEMP%\~DFB014.tmp
- %TEMP%\~DFD9FC.tmp
- %TEMP%\~DFCE24.tmp
- %TEMP%\~DF722D.tmp
- %TEMP%\~DF71D0.tmp
- %TEMP%\~DFBDE5.tmp
- %TEMP%\~DF72C1.tmp
- %TEMP%\~DF557D.tmp
- %TEMP%\~DF143B.tmp
- %TEMP%\~DF101B.tmp
- %TEMP%\~DF5791.tmp
- %TEMP%\~DF3947.tmp
- %TEMP%\~DFC13B.tmp
- %TEMP%\~DF1252.tmp
- %TEMP%\~DF1B3A.tmp
- %TEMP%\~DF26BC.tmp
- %TEMP%\~DF2220.tmp
- %TEMP%\~DFCE4.tmp
- %TEMP%\~DFDA3B.tmp
- %TEMP%\~DFB68C.tmp
- %TEMP%\~DFC163.tmp
- %TEMP%\~DFAFD5.tmp
- %TEMP%\~DF624B.tmp
- %TEMP%\~DF7BBE.tmp
- %TEMP%\~DF7D48.tmp
- %TEMP%\~DF767D.tmp
- %TEMP%\~DF268E.tmp
- %TEMP%\~DF4384.tmp
- %TEMP%\~DF13D8.tmp
- %TEMP%\~DF69F8.tmp
- %TEMP%\~DF2A3C.tmp
- %TEMP%\~DF8640.tmp
- %TEMP%\~DF1CD1.tmp
- %TEMP%\~DFF07C.tmp
- %TEMP%\~DF7420.tmp
- %TEMP%\~DF2957.tmp
- %TEMP%\~DFF097.tmp
- %TEMP%\~DFD12F.tmp
- %TEMP%\~DFA8D3.tmp
- %TEMP%\~DFACC1.tmp
- %TEMP%\~DFE1FA.tmp
- %TEMP%\~DF9EC4.tmp
- %TEMP%\~DF8858.tmp
- %TEMP%\~DFA126.tmp
- %TEMP%\~DFA422.tmp
- %TEMP%\~DF33FD.tmp
- %TEMP%\~DF415E.tmp
- %TEMP%\~DF28B6.tmp
- %TEMP%\~DF547D.tmp
- %TEMP%\~DF1BC1.tmp
- %TEMP%\~DFA57C.tmp
- %TEMP%\~DFEE00.tmp
- %TEMP%\~DFE30C.tmp
- %TEMP%\~DF1516.tmp
- %TEMP%\~DF11D0.tmp
- %TEMP%\~DFBA3F.tmp
- %TEMP%\~DFB422.tmp
- %TEMP%\~DFAEBD.tmp
- %TEMP%\~DFB015.tmp
- %TEMP%\~DFDE31.tmp
- %TEMP%\~DF20C0.tmp
- %TEMP%\~DF1AEB.tmp
- %TEMP%\~DFD978.tmp
- %TEMP%\~DF43C3.tmp
- %TEMP%\~DF2F6.tmp
- %TEMP%\~DFDAF0.tmp
- %TEMP%\~DFD150.tmp
- %TEMP%\~DF98.tmp
- %TEMP%\~DFF85D.tmp
- %TEMP%\~DFD9E1.tmp
- %TEMP%\~DF440D.tmp
- %TEMP%\~DF15EB.tmp
- %TEMP%\~DF5F2C.tmp
- %TEMP%\~DF5040.tmp
- %TEMP%\~DF2E55.tmp
- %TEMP%\~DFFD22.tmp
- %TEMP%\~DFD9BF.tmp
- %TEMP%\~DF1CAD.tmp
- %TEMP%\~DF8B0.tmp
- %TEMP%\~DF7C8B.tmp
- %TEMP%\~DF65BD.tmp
- %TEMP%\~DF1F84.tmp
- %TEMP%\~DF99B3.tmp
- %TEMP%\~DF4A3F.tmp
- %TEMP%\~DFBADD.tmp
- %TEMP%\~DFA7F5.tmp
- %TEMP%\~DF2EF5.tmp
- %TEMP%\~DFCBC7.tmp
- %TEMP%\~DF1DE6.tmp
- %TEMP%\~DFA08F.tmp
- %TEMP%\~DF9C3F.tmp
- %TEMP%\~DFD255.tmp
- %TEMP%\~DFB5EF.tmp
- %TEMP%\~DF7D1E.tmp
- %TEMP%\~DF4D9B.tmp
- %TEMP%\~DF3DF2.tmp
- %TEMP%\~DF7F94.tmp
- %TEMP%\~DF6542.tmp
- %TEMP%\~DF9F95.tmp
- %TEMP%\~DFA036.tmp
- %TEMP%\~DFD08A.tmp
- %TEMP%\~DFA2C2.tmp
- %TEMP%\~DF717D.tmp
- %TEMP%\~DF501A.tmp
- %TEMP%\~DF4523.tmp
- %TEMP%\~DF662D.tmp
- %TEMP%\~DF5046.tmp
- %TEMP%\~DFAA99.tmp
- %TEMP%\~DF8BA.tmp
- %TEMP%\~DF39D6.tmp
- %TEMP%\~DF156D.tmp
- %TEMP%\~DF10C7.tmp
- %TEMP%\~DF934.tmp
- %TEMP%\~DFFA23.tmp
- %TEMP%\~DFEEAA.tmp
- %TEMP%\~DFE495.tmp
- %TEMP%\~DFDABA.tmp
- %TEMP%\~DFD52F.tmp
- %TEMP%\~DFAF7A.tmp
- %TEMP%\~DFF57A.tmp
- %TEMP%\~DFE281.tmp
- %TEMP%\~DFB656.tmp
- %TEMP%\~DF8AD3.tmp
- %TEMP%\~DF7B36.tmp
- %TEMP%\~DFAFD8.tmp
- %TEMP%\~DF7C39.tmp
- %TEMP%\~DF6F.tmp
- %TEMP%\~DF2C3.tmp
- %TEMP%\~DFA0C.tmp
- %TEMP%\~DF2891.tmp
- %TEMP%\~DFE07.tmp
- %TEMP%\~DFFECC.tmp
- %TEMP%\~DFFAF0.tmp
- %TEMP%\~DF1225.tmp
- %TEMP%\~DF4308.tmp
- %TEMP%\~DF135A.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
