Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\epucnqkk.exe'
- '<SYSTEM32>\wtfxvqdm.exe'
- '<SYSTEM32>\tzqxfwgy.exe'
- '<SYSTEM32>\lokglbhe.exe'
- '<SYSTEM32>\xdnswlsk.exe'
- '<SYSTEM32>\pvlhpjud.exe'
- '<SYSTEM32>\ulkywqhb.exe'
- '<SYSTEM32>\unacjzrp.exe'
- '<SYSTEM32>\bfmmdfnl.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wtfxvqdm.exe
- <SYSTEM32>\xdnswlsk.exe
- <SYSTEM32>\epucnqkk.exe
- <SYSTEM32>\tzqxfwgy.exe
- <SYSTEM32>\lokglbhe.exe
- <SYSTEM32>\unacjzrp.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\ulkywqhb.exe
- <SYSTEM32>\bfmmdfnl.exe
- <SYSTEM32>\pvlhpjud.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\epucnqkk.exe
- <SYSTEM32>\wtfxvqdm.exe
- <SYSTEM32>\tzqxfwgy.exe
- <SYSTEM32>\lokglbhe.exe
- <SYSTEM32>\xdnswlsk.exe
- <SYSTEM32>\pvlhpjud.exe
- <SYSTEM32>\ulkywqhb.exe
- <SYSTEM32>\unacjzrp.exe
- <SYSTEM32>\bfmmdfnl.exe
Удаляет следующие файлы:
- %TEMP%\~DF7DD.tmp
- %TEMP%\~DF831C.tmp
- %TEMP%\~DF8E14.tmp
- %TEMP%\~DFE208.tmp
- %TEMP%\~DFDED6.tmp
- %TEMP%\~DFC6C2.tmp
- %TEMP%\~DF2191.tmp
- %TEMP%\~DFB2EC.tmp
- %TEMP%\~DFBEAF.tmp
- %TEMP%\~DFE48E.tmp
- %TEMP%\~DFE18D.tmp
- %TEMP%\~DFCBEF.tmp
- %TEMP%\~DFCD2F.tmp
- %TEMP%\~DFA62A.tmp
- %TEMP%\~DFB70C.tmp
- %TEMP%\~DFF1BB.tmp
- %TEMP%\~DFE491.tmp
- %TEMP%\~DF1912.tmp
- %TEMP%\~DFAEA.tmp
- %TEMP%\~DF7684.tmp
- %TEMP%\~DF97D7.tmp
- %TEMP%\~DFD676.tmp
- %TEMP%\~DF401E.tmp
- %TEMP%\~DF70B2.tmp
- %TEMP%\~DF9E3C.tmp
- %TEMP%\~DFBDEC.tmp
- %TEMP%\~DF5D66.tmp
- %TEMP%\~DF5A66.tmp
- %TEMP%\~DF5D19.tmp
- %TEMP%\~DF676D.tmp
- %TEMP%\~DF1D4A.tmp
- %TEMP%\~DF32F7.tmp
- %TEMP%\~DF577F.tmp
- %TEMP%\~DF1C24.tmp
- %TEMP%\~DFFE5.tmp
- %TEMP%\~DF62F.tmp
- %TEMP%\~DFF7C.tmp
- %TEMP%\~DF4582.tmp
- %TEMP%\~DFB6D1.tmp
- %TEMP%\~DF90F5.tmp
- %TEMP%\~DFE675.tmp
- %TEMP%\~DF728C.tmp
- %TEMP%\~DF5990.tmp
- %TEMP%\~DF7A6E.tmp
- %TEMP%\~DF5DB0.tmp
- %TEMP%\~DF3F00.tmp
- %TEMP%\~DF7505.tmp
- %TEMP%\~DF3D9B.tmp
- %TEMP%\~DF171B.tmp
- %TEMP%\~DF722.tmp
- %TEMP%\~DFED4D.tmp
- %TEMP%\~DF14C9.tmp
- %TEMP%\~DF768F.tmp
- %TEMP%\~DFF903.tmp
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\~DF2CE.tmp
- %TEMP%\~DFDE25.tmp
- %TEMP%\~DF81F7.tmp
- %TEMP%\~DFAFD6.tmp
- %TEMP%\~DFAFD5.tmp
- %TEMP%\~DF8E19.tmp
- %TEMP%\~DFF5B0.tmp
- %TEMP%\~DFEDB.tmp
- %TEMP%\~DF1886.tmp
- %TEMP%\~DFF78E.tmp
- %TEMP%\~DFB9F4.tmp
- %TEMP%\~DFD69E.tmp
- %TEMP%\~DFDC74.tmp
- %TEMP%\~DF1DCB.tmp
- %TEMP%\~DFE690.tmp
- %TEMP%\~DFE8A7.tmp
- %TEMP%\~DFF739.tmp
- %TEMP%\~DF5D5A.tmp
- %TEMP%\~DF3133.tmp
- %TEMP%\~DF4620.tmp
- %TEMP%\~DF48E2.tmp
- %TEMP%\~DF801E.tmp
- %TEMP%\~DFC008.tmp
- %TEMP%\~DFDDDA.tmp
- %TEMP%\~DF6400.tmp
- %TEMP%\~DF2BB1.tmp
- %TEMP%\~DF3E0D.tmp
- %TEMP%\~DF50BE.tmp
- %TEMP%\~DFFB67.tmp
- %TEMP%\~DF564E.tmp
- %TEMP%\~DF539D.tmp
- %TEMP%\~DFB7D2.tmp
- %TEMP%\~DF20AE.tmp
- %TEMP%\~DF781.tmp
- %TEMP%\~DF1BA4.tmp
- %TEMP%\~DF3349.tmp
- %TEMP%\~DFCBDF.tmp
- %TEMP%\~DFFD26.tmp
- %TEMP%\~DFF6BA.tmp
- %TEMP%\~DF9C40.tmp
- %TEMP%\~DF8658.tmp
- %TEMP%\~DF9FC7.tmp
- %TEMP%\~DFADBA.tmp
- %TEMP%\~DF2081.tmp
- %TEMP%\~DF4F2D.tmp
- %TEMP%\~DF78DD.tmp
- %TEMP%\~DF56DB.tmp
- %TEMP%\~DF363C.tmp
- %TEMP%\~DF345A.tmp
- %TEMP%\~DF3FB7.tmp
- %TEMP%\~DF2A32.tmp
- %TEMP%\~DF31D1.tmp
- %TEMP%\~DF5050.tmp
- %TEMP%\~DF4F9F.tmp
- %TEMP%\~DF2B9C.tmp
- %TEMP%\~DFA98.tmp
- %TEMP%\~DFBD7.tmp
- %TEMP%\~DF1F57.tmp
- %TEMP%\~DF734E.tmp
- %TEMP%\~DF6508.tmp
- %TEMP%\~DF729C.tmp
- %TEMP%\~DF7393.tmp
- %TEMP%\~DFD46D.tmp
- %TEMP%\~DF5643.tmp
- %TEMP%\~DF8885.tmp
- %TEMP%\~DF96FA.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
