Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\fmkxhdqy.exe'
- '<SYSTEM32>\ibilpkrm.exe'
- '<SYSTEM32>\bfbaxbmn.exe'
- '<SYSTEM32>\iuxdasvs.exe' -Embedding
- '<SYSTEM32>\dkcfxzzf.exe'
- '<SYSTEM32>\lutpafzk.exe' /pid=3136
- '<SYSTEM32>\lutpafzk.exe'
- '<SYSTEM32>\iuxdasvs.exe'
- '<SYSTEM32>\millzflm.exe'
- '<SYSTEM32>\spbbzdlu.exe'
- '<SYSTEM32>\tvasqwlq.exe'
- '<SYSTEM32>\lnvzxgmm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ibilpkrm.exe
- <SYSTEM32>\bfbaxbmn.exe
- <SYSTEM32>\spbbzdlu.exe
- <SYSTEM32>\lsmdsiki.exe
- <SYSTEM32>\dkcfxzzf.exe
- <SYSTEM32>\fmkxhdqy.exe
- <SYSTEM32>\tvasqwlq.exe
- <SYSTEM32>\millzflm.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\lnvzxgmm.exe
- <SYSTEM32>\lutpafzk.exe
- <SYSTEM32>\iuxdasvs.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ibilpkrm.exe
- <SYSTEM32>\bfbaxbmn.exe
- <SYSTEM32>\fmkxhdqy.exe
- <SYSTEM32>\lsmdsiki.exe
- <SYSTEM32>\dkcfxzzf.exe
- <SYSTEM32>\spbbzdlu.exe
- <SYSTEM32>\iuxdasvs.exe
- <SYSTEM32>\millzflm.exe
- <SYSTEM32>\lutpafzk.exe
- <SYSTEM32>\tvasqwlq.exe
- <SYSTEM32>\lnvzxgmm.exe
Удаляет следующие файлы:
- %TEMP%\~DF344C.tmp
- %TEMP%\~DFEF60.tmp
- %TEMP%\~DF59A.tmp
- %TEMP%\~DFB3C.tmp
- %TEMP%\~DF5591.tmp
- %TEMP%\~DFF45A.tmp
- %TEMP%\~DF8DB3.tmp
- %TEMP%\~DFB55C.tmp
- %TEMP%\~DF1910.tmp
- %TEMP%\~DFBDBE.tmp
- %TEMP%\~DF36AE.tmp
- %TEMP%\~DFB125.tmp
- %TEMP%\~DFAAEF.tmp
- %TEMP%\~DFBA15.tmp
- %TEMP%\~DFD37B.tmp
- %TEMP%\~DFD278.tmp
- %TEMP%\~DF4AF2.tmp
- %TEMP%\~DF8359.tmp
- %TEMP%\~DF9AAF.tmp
- %TEMP%\~DFC54E.tmp
- %TEMP%\~DF822B.tmp
- %TEMP%\~DFE1D1.tmp
- %TEMP%\~DFF131.tmp
- %TEMP%\~DFFC0F.tmp
- %TEMP%\~DF1540.tmp
- %TEMP%\~DF18DE.tmp
- %TEMP%\~DF1351.tmp
- %TEMP%\~DFC832.tmp
- %TEMP%\~DFBE79.tmp
- %TEMP%\~DFB607.tmp
- %TEMP%\~DFB9CB.tmp
- %TEMP%\~DFBAA6.tmp
- %TEMP%\~DF151D.tmp
- %TEMP%\~DF6F4A.tmp
- %TEMP%\~DF325E.tmp
- %TEMP%\~DF965B.tmp
- %TEMP%\~DF8679.tmp
- %TEMP%\~DFA994.tmp
- %TEMP%\~DF6D25.tmp
- %TEMP%\~DF615F.tmp
- %TEMP%\~DF77FC.tmp
- %TEMP%\~DFECA2.tmp
- %TEMP%\~DFB053.tmp
- %TEMP%\~DF8B30.tmp
- %TEMP%\~DF3888.tmp
- %TEMP%\~DFA3C4.tmp
- %TEMP%\~DF8B7D.tmp
- %TEMP%\~DFAC95.tmp
- %TEMP%\~DF1DAA.tmp
- %TEMP%\~DF114E.tmp
- %TEMP%\~DF1629.tmp
- %TEMP%\~DF48D5.tmp
- %TEMP%\~DF1FB5.tmp
- %TEMP%\~DF9AE5.tmp
- %TEMP%\~DF2C1B.tmp
- %TEMP%\~DF65D6.tmp
- %TEMP%\~DF2ACC.tmp
- %TEMP%\~DFE47B.tmp
- %TEMP%\~DFA6D5.tmp
- %TEMP%\~DFC76E.tmp
- %TEMP%\~DFA5A0.tmp
- %TEMP%\~DFD848.tmp
- %TEMP%\~DF2280.tmp
- %TEMP%\~DFB8D4.tmp
- %TEMP%\~DFB5B.tmp
- %TEMP%\~DF3DBA.tmp
- %TEMP%\~DFF472.tmp
- %TEMP%\~DF5C83.tmp
- %TEMP%\~DF6F48.tmp
- %TEMP%\~DF147D.tmp
- %TEMP%\~DFF296.tmp
- %TEMP%\~DFD12A.tmp
- %TEMP%\~DFD416.tmp
- %TEMP%\~DF2874.tmp
- %TEMP%\~DFD5DE.tmp
- %TEMP%\~DF6C26.tmp
- %TEMP%\~DFEC9E.tmp
- %TEMP%\~DFE047.tmp
- %TEMP%\~DFF9C4.tmp
- %TEMP%\~DFFC0A.tmp
- %TEMP%\~DFB04.tmp
- %TEMP%\~DFC752.tmp
- %TEMP%\~DF7286.tmp
- %TEMP%\~DFC91F.tmp
- %TEMP%\~DF415B.tmp
- %TEMP%\~DF6D7.tmp
- %TEMP%\~DF346E.tmp
- %TEMP%\~DF680.tmp
- %TEMP%\~DF5772.tmp
- %TEMP%\~DF84EF.tmp
- %TEMP%\~DF9224.tmp
- %TEMP%\~DFD9D6.tmp
- %TEMP%\~DFCB25.tmp
- %TEMP%\~DFC961.tmp
- %TEMP%\~DFEBB8.tmp
- %TEMP%\~DFF403.tmp
- %TEMP%\~DF9C5F.tmp
- %TEMP%\~DF2540.tmp
- %TEMP%\~DF1F3D.tmp
- %TEMP%\~DF1F15.tmp
- %TEMP%\~DF4536.tmp
- %TEMP%\~DF3EAA.tmp
- %TEMP%\~DFC36F.tmp
- %TEMP%\~DFBF7E.tmp
- %TEMP%\~DFE622.tmp
- %TEMP%\~DFF66A.tmp
- %TEMP%\~DFFF3C.tmp
- %TEMP%\~DF9155.tmp
- %TEMP%\~DF581D.tmp
- %TEMP%\~DF46D9.tmp
- %TEMP%\~DF6AC7.tmp
- %TEMP%\~DF8396.tmp
- %TEMP%\~DF64E4.tmp
- %TEMP%\~DF7A1B.tmp
- %TEMP%\~DF66ED.tmp
- %TEMP%\~DF8BCE.tmp
- %TEMP%\~DFC81D.tmp
- %TEMP%\~DFA1C2.tmp
- %TEMP%\~DF7BCB.tmp
- %TEMP%\~DF2992.tmp
- %TEMP%\~DF19FF.tmp
- %TEMP%\~DF25C2.tmp
- %TEMP%\~DF60F0.tmp
- %TEMP%\~DF3A6D.tmp
- %TEMP%\~DFA8DD.tmp
- %TEMP%\~DF94E8.tmp
- %TEMP%\~DFC377.tmp
- %TEMP%\~DFEB88.tmp
- %TEMP%\~DFC19.tmp
- %TEMP%\~DF2428.tmp
- %TEMP%\~DFD382.tmp
- %TEMP%\~DF3B4B.tmp
- %TEMP%\~DF5ED5.tmp
- %TEMP%\~DF247A.tmp
- %TEMP%\~DFB04E.tmp
- %TEMP%\~DFAF02.tmp
- %TEMP%\~DFF53F.tmp
- %TEMP%\~DFC352.tmp
- %TEMP%\~DFC1A5.tmp
- %TEMP%\~DF4309.tmp
- %TEMP%\~DF7A3B.tmp
- %TEMP%\~DF6305.tmp
- %TEMP%\~DF99CB.tmp
- %TEMP%\~DF619B.tmp
- %TEMP%\~DF9CF4.tmp
- %TEMP%\~DF9483.tmp
- %TEMP%\~DF5C8D.tmp
- %TEMP%\~DF9B07.tmp
- %TEMP%\~DF5010.tmp
- %TEMP%\~DFAB2D.tmp
- %TEMP%\~DF571E.tmp
- %TEMP%\~DF23CD.tmp
- %TEMP%\~DF1ACD.tmp
- %TEMP%\~DF35E3.tmp
- %TEMP%\~DF4662.tmp
- %TEMP%\~DF204C.tmp
- %TEMP%\~DF8618.tmp
- %TEMP%\~DF4487.tmp
- %TEMP%\~DF6969.tmp
- %TEMP%\~DFDBC.tmp
- %TEMP%\~DF756.tmp
- %TEMP%\~DF5B04.tmp
- %TEMP%\~DFA7CD.tmp
- %TEMP%\~DF98D2.tmp
- %TEMP%\~DFDB6C.tmp
- %TEMP%\~DF38BD.tmp
- %TEMP%\~DF83C.tmp
- %TEMP%\~DF798D.tmp
- %TEMP%\~DF5F31.tmp
- %TEMP%\~DF888E.tmp
- %TEMP%\~DFA609.tmp
- %TEMP%\~DF7FFB.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
