Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\pykxsteg.exe'
- '<SYSTEM32>\vlynnykq.exe'
- '<SYSTEM32>\glqymsnr.exe'
- '<SYSTEM32>\usswbrta.exe' /R /T
- '<SYSTEM32>\nppmwwah.exe' -Embedding
- '<SYSTEM32>\nmztdnfr.exe'
- '<SYSTEM32>\noxqqctp.exe'
- '<SYSTEM32>\nppmwwah.exe'
- '<SYSTEM32>\mqtpjwub.exe'
- '<SYSTEM32>\lyfkhjax.exe'
- '<SYSTEM32>\fsccmcdo.exe'
- '<SYSTEM32>\usswbrta.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\glqymsnr.exe
- <SYSTEM32>\lyfkhjax.exe
- <SYSTEM32>\fsccmcdo.exe
- <SYSTEM32>\nmztdnfr.exe
- <SYSTEM32>\pykxsteg.exe
- <SYSTEM32>\vlynnykq.exe
- <SYSTEM32>\mqtpjwub.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\usswbrta.exe
- <SYSTEM32>\noxqqctp.exe
- <SYSTEM32>\nppmwwah.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\glqymsnr.exe
- <SYSTEM32>\lyfkhjax.exe
- <SYSTEM32>\vlynnykq.exe
- <SYSTEM32>\nmztdnfr.exe
- <SYSTEM32>\pykxsteg.exe
- <SYSTEM32>\nppmwwah.exe
- <SYSTEM32>\mqtpjwub.exe
- <SYSTEM32>\noxqqctp.exe
- <SYSTEM32>\fsccmcdo.exe
- <SYSTEM32>\usswbrta.exe
Удаляет следующие файлы:
- %TEMP%\~DFCF2C.tmp
- %TEMP%\~DFCD46.tmp
- %TEMP%\~DFC084.tmp
- %TEMP%\~DFE722.tmp
- %TEMP%\~DFB893.tmp
- %TEMP%\~DFC765.tmp
- %TEMP%\~DF8A7C.tmp
- %TEMP%\~DFC7BB.tmp
- %TEMP%\~DFB29B.tmp
- %TEMP%\~DF3C02.tmp
- %TEMP%\~DF3DF5.tmp
- %TEMP%\~DF438B.tmp
- %TEMP%\~DF62EE.tmp
- %TEMP%\~DF2722.tmp
- %TEMP%\~DFF9E6.tmp
- %TEMP%\~DFD9F9.tmp
- %TEMP%\~DFFF7.tmp
- %TEMP%\~DFE543.tmp
- %TEMP%\~DFA8E1.tmp
- %TEMP%\~DF6DF7.tmp
- %TEMP%\~DF6395.tmp
- %TEMP%\~DFE8A2.tmp
- %TEMP%\~DFE804.tmp
- %TEMP%\~DF18A2.tmp
- %TEMP%\~DFCEAE.tmp
- %TEMP%\~DFAD3C.tmp
- %TEMP%\~DFF6EC.tmp
- %TEMP%\~DFE1A3.tmp
- %TEMP%\~DF5C19.tmp
- %TEMP%\~DF3957.tmp
- %TEMP%\~DF7A04.tmp
- %TEMP%\~DF8A2B.tmp
- %TEMP%\~DF7B6.tmp
- %TEMP%\~DF3735.tmp
- %TEMP%\~DF1D88.tmp
- %TEMP%\~DF658.tmp
- %TEMP%\~DF4C9F.tmp
- %TEMP%\~DF5230.tmp
- %TEMP%\~DFD92.tmp
- %TEMP%\~DFD28F.tmp
- %TEMP%\~DFD5B1.tmp
- %TEMP%\~DFED09.tmp
- %TEMP%\~DFE429.tmp
- %TEMP%\~DFD1BD.tmp
- %TEMP%\~DFB4C7.tmp
- %TEMP%\~DFBCB5.tmp
- %TEMP%\~DFCF80.tmp
- %TEMP%\~DF8AC3.tmp
- %TEMP%\~DF514C.tmp
- %TEMP%\~DFF7DA.tmp
- %TEMP%\~DF98C2.tmp
- %TEMP%\~DF37E7.tmp
- %TEMP%\~DF3908.tmp
- %TEMP%\~DFA21.tmp
- %TEMP%\~DF6D56.tmp
- %TEMP%\~DF55CD.tmp
- %TEMP%\~DFB42C.tmp
- %TEMP%\~DFB92E.tmp
- %TEMP%\~DFCA91.tmp
- %TEMP%\~DFCED5.tmp
- %TEMP%\~DFB4E9.tmp
- %TEMP%\~DFBFCE.tmp
- %TEMP%\~DF98EB.tmp
- %TEMP%\~DF9846.tmp
- %TEMP%\~DFB7AC.tmp
- %TEMP%\~DFB0C3.tmp
- %TEMP%\~DF51EC.tmp
- %TEMP%\~DF563C.tmp
- %TEMP%\~DFF425.tmp
- %TEMP%\~DF65BD.tmp
- %TEMP%\~DF62B9.tmp
- %TEMP%\~DF2BDB.tmp
- %TEMP%\~DF1725.tmp
- %TEMP%\~DF4028.tmp
- %TEMP%\~DFF974.tmp
- %TEMP%\~DFFE05.tmp
- %TEMP%\~DF42F.tmp
- %TEMP%\~DF1D75.tmp
- %TEMP%\~DF1905.tmp
- %TEMP%\~DFDCB7.tmp
- %TEMP%\~DFC9E3.tmp
- %TEMP%\~DFA771.tmp
- %TEMP%\~DFE987.tmp
- %TEMP%\~DFC3C9.tmp
- %TEMP%\~DFCABB.tmp
- %TEMP%\~DFAA24.tmp
- %TEMP%\~DF25D4.tmp
- %TEMP%\~DF3052.tmp
- %TEMP%\~DF8AAA.tmp
- %TEMP%\~DF44FB.tmp
- %TEMP%\~DF401A.tmp
- %TEMP%\~DF746B.tmp
- %TEMP%\~DF6354.tmp
- %TEMP%\~DFB323.tmp
- %TEMP%\~DF6B75.tmp
- %TEMP%\~DF4F30.tmp
- %TEMP%\~DFBD80.tmp
- %TEMP%\~DF82CC.tmp
- %TEMP%\~DF2BAC.tmp
- %TEMP%\~DF806C.tmp
- %TEMP%\~DF6CD9.tmp
- %TEMP%\~DFAB9F.tmp
- %TEMP%\~DF9107.tmp
- %TEMP%\~DF8700.tmp
- %TEMP%\~DF23B7.tmp
- %TEMP%\~DF9395.tmp
- %TEMP%\~DF9713.tmp
- %TEMP%\~DFE582.tmp
- %TEMP%\~DFD235.tmp
- %TEMP%\~DF906E.tmp
- %TEMP%\~DFDFFE.tmp
- %TEMP%\~DFD756.tmp
- %TEMP%\~DF4731.tmp
- %TEMP%\~DF3A08.tmp
- %TEMP%\~DF3715.tmp
- %TEMP%\~DF63E3.tmp
- %TEMP%\~DF5302.tmp
- %TEMP%\~DF77F6.tmp
- %TEMP%\~DF1632.tmp
- %TEMP%\~DF2B71.tmp
- %TEMP%\~DF4785.tmp
- %TEMP%\~DF40D7.tmp
- %TEMP%\~DF7BBC.tmp
- %TEMP%\~DFAC1B.tmp
- %TEMP%\~DFA1C8.tmp
- %TEMP%\~DFC4EB.tmp
- %TEMP%\~DF95E8.tmp
- %TEMP%\~DF3CD2.tmp
- %TEMP%\~DF3CC0.tmp
- %TEMP%\~DF6730.tmp
- %TEMP%\~DF8397.tmp
- %TEMP%\~DF17D8.tmp
- %TEMP%\~DFA7E2.tmp
- %TEMP%\~DF5D0C.tmp
- %TEMP%\~DF9A85.tmp
- %TEMP%\~DF9309.tmp
- %TEMP%\~DF9207.tmp
- %TEMP%\~DF3D6B.tmp
- %TEMP%\~DF620A.tmp
- %TEMP%\~DF3BDE.tmp
- %TEMP%\~DF77C9.tmp
- %TEMP%\~DFB3D9.tmp
- %TEMP%\~DFECFA.tmp
- %TEMP%\~DFBBB8.tmp
- %TEMP%\~DFB45F.tmp
- %TEMP%\~DFBFF9.tmp
- %TEMP%\~DFC801.tmp
- %TEMP%\~DFAD27.tmp
- %TEMP%\~DFB236.tmp
- %TEMP%\~DFA47F.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
