Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\xxsbzppa.exe'
- '<SYSTEM32>\xplwjvon.exe'
- '<SYSTEM32>\itfvaxvj.exe'
- '<SYSTEM32>\elwcxvqn.exe'
- '<SYSTEM32>\nneaxhhm.exe'
- '<SYSTEM32>\dgoaxkyf.exe' -Embedding
- '<SYSTEM32>\dgoaxkyf.exe'
- '<SYSTEM32>\ilsgbcyq.exe'
- '<SYSTEM32>\ljbsfuur.exe'
- '<SYSTEM32>\egmjjzpm.exe'
- '<SYSTEM32>\gktfdkqg.exe'
- '<SYSTEM32>\jbrzgrhe.exe'
Скрывает следующие процессы:
- <SYSTEM32>\xplwjvon.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\xplwjvon.exe
- <SYSTEM32>\itfvaxvj.exe
- <SYSTEM32>\egmjjzpm.exe
- <SYSTEM32>\xxsbzppa.exe
- <SYSTEM32>\temcfgya.exe
- <SYSTEM32>\elwcxvqn.exe
- <SYSTEM32>\nneaxhhm.exe
- <SYSTEM32>\ljbsfuur.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\ilsgbcyq.exe
- <SYSTEM32>\gktfdkqg.exe
- <SYSTEM32>\jbrzgrhe.exe
- <SYSTEM32>\dgoaxkyf.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\xxsbzppa.exe
- <SYSTEM32>\xplwjvon.exe
- <SYSTEM32>\itfvaxvj.exe
- <SYSTEM32>\temcfgya.exe
- <SYSTEM32>\elwcxvqn.exe
- <SYSTEM32>\nneaxhhm.exe
- <SYSTEM32>\dgoaxkyf.exe
- <SYSTEM32>\ilsgbcyq.exe
- <SYSTEM32>\ljbsfuur.exe
- <SYSTEM32>\egmjjzpm.exe
- <SYSTEM32>\gktfdkqg.exe
- <SYSTEM32>\jbrzgrhe.exe
Удаляет следующие файлы:
- %TEMP%\~DF755C.tmp
- %TEMP%\~DF917D.tmp
- %TEMP%\~DF600C.tmp
- %TEMP%\~DF8235.tmp
- %TEMP%\~DF85D0.tmp
- %TEMP%\~DFA308.tmp
- %TEMP%\~DF59BC.tmp
- %TEMP%\~DF5AC1.tmp
- %TEMP%\~DF935C.tmp
- %TEMP%\~DF8218.tmp
- %TEMP%\~DF7676.tmp
- %TEMP%\~DF6B67.tmp
- %TEMP%\~DF717A.tmp
- %TEMP%\~DF2D15.tmp
- %TEMP%\~DF20DA.tmp
- %TEMP%\~DFD817.tmp
- %TEMP%\~DFADEC.tmp
- %TEMP%\~DF8035.tmp
- %TEMP%\~DFFBAD.tmp
- %TEMP%\~DFA8B5.tmp
- %TEMP%\~DFD018.tmp
- %TEMP%\~DFFFBE.tmp
- %TEMP%\~DF1FA.tmp
- %TEMP%\~DFD936.tmp
- %TEMP%\~DF4AE6.tmp
- %TEMP%\~DF4BA1.tmp
- %TEMP%\~DF48C8.tmp
- %TEMP%\~DF5923.tmp
- %TEMP%\~DF4B72.tmp
- %TEMP%\~DF4EC4.tmp
- %TEMP%\~DF29AF.tmp
- %TEMP%\~DFFB85.tmp
- %TEMP%\~DF4325.tmp
- %TEMP%\~DF2D0E.tmp
- %TEMP%\~DF77E4.tmp
- %TEMP%\~DF43EC.tmp
- %TEMP%\~DFEEB9.tmp
- %TEMP%\~DFD296.tmp
- %TEMP%\~DFFD8A.tmp
- %TEMP%\~DF3A09.tmp
- %TEMP%\~DF2986.tmp
- %TEMP%\~DF3AD2.tmp
- %TEMP%\~DFC26E.tmp
- %TEMP%\~DFAF8B.tmp
- %TEMP%\~DF9A09.tmp
- %TEMP%\~DFBFBF.tmp
- %TEMP%\~DFACE8.tmp
- %TEMP%\~DFBD47.tmp
- %TEMP%\~DF3FCC.tmp
- %TEMP%\~DF39E7.tmp
- %TEMP%\~DF307A.tmp
- %TEMP%\~DF95D5.tmp
- %TEMP%\~DF3DA5.tmp
- %TEMP%\~DF3A98.tmp
- %TEMP%\~DF2E7F.tmp
- %TEMP%\~DF25D3.tmp
- %TEMP%\~DFFB64.tmp
- %TEMP%\~DF3903.tmp
- %TEMP%\~DF2EDD.tmp
- %TEMP%\~DF2BE5.tmp
- %TEMP%\~DFD9FE.tmp
- %TEMP%\~DFE365.tmp
- %TEMP%\~DFE133.tmp
- %TEMP%\~DF8366.tmp
- %TEMP%\~DF4947.tmp
- %TEMP%\~DF3988.tmp
- %TEMP%\~DFC6F8.tmp
- %TEMP%\~DFACD0.tmp
- %TEMP%\~DF99D2.tmp
- %TEMP%\~DFCEC1.tmp
- %TEMP%\~DFB0F1.tmp
- %TEMP%\~DFC944.tmp
- %TEMP%\~DF22B.tmp
- %TEMP%\~DFDABE.tmp
- %TEMP%\~DFE575.tmp
- %TEMP%\~DFEFB.tmp
- %TEMP%\~DFDED.tmp
- %TEMP%\~DFF4BE.tmp
- %TEMP%\~DFB231.tmp
- %TEMP%\~DF58CB.tmp
- %TEMP%\~DF2384.tmp
- %TEMP%\~DFCE57.tmp
- %TEMP%\~DFBC2C.tmp
- %TEMP%\~DFD19F.tmp
- %TEMP%\~DFA177.tmp
- %TEMP%\~DF7907.tmp
- %TEMP%\~DF9491.tmp
- %TEMP%\~DFF2FF.tmp
- %TEMP%\~DFC10.tmp
- %TEMP%\~DFDFF0.tmp
- %TEMP%\~DF545B.tmp
- %TEMP%\~DF37D8.tmp
- %TEMP%\~DF210B.tmp
- %TEMP%\~DF51A6.tmp
- %TEMP%\~DF7848.tmp
- %TEMP%\~DF29DF.tmp
- %TEMP%\~DFED97.tmp
- %TEMP%\~DFE68B.tmp
- %TEMP%\~DFB8F3.tmp
- %TEMP%\~DF6D00.tmp
- %TEMP%\~DF4AAD.tmp
- %TEMP%\~DF255.tmp
- %TEMP%\~DF99CE.tmp
- %TEMP%\~DF55E9.tmp
- %TEMP%\~DF85CA.tmp
- %TEMP%\~DFD065.tmp
- %TEMP%\~DF9E11.tmp
- %TEMP%\~DFA756.tmp
- %TEMP%\~DF1BD.tmp
- %TEMP%\~DFE7EB.tmp
- %TEMP%\~DFC46A.tmp
- %TEMP%\~DF6639.tmp
- %TEMP%\~DF2337.tmp
- %TEMP%\~DF31BC.tmp
- %TEMP%\~DF9AEF.tmp
- %TEMP%\~DF7DDC.tmp
- %TEMP%\~DF68F0.tmp
- %TEMP%\~DFB88B.tmp
- %TEMP%\~DFC219.tmp
- %TEMP%\~DF86C6.tmp
- %TEMP%\~DFAD.tmp
- %TEMP%\~DFEBCA.tmp
- %TEMP%\~DFDF7C.tmp
- %TEMP%\~DF3083.tmp
- %TEMP%\~DF2009.tmp
- %TEMP%\~DFC00.tmp
- %TEMP%\~DF4C45.tmp
- %TEMP%\~DF3B54.tmp
- %TEMP%\~DF280C.tmp
- %TEMP%\~DFA9D9.tmp
- %TEMP%\~DF8AA8.tmp
- %TEMP%\~DF65FC.tmp
- %TEMP%\~DFB6F.tmp
- %TEMP%\~DFF15A.tmp
- %TEMP%\~DFE61D.tmp
- %TEMP%\~DF68CF.tmp
- %TEMP%\~DF327A.tmp
- %TEMP%\~DF29B6.tmp
- %TEMP%\~DF653F.tmp
- %TEMP%\~DF7D25.tmp
- %TEMP%\~DF4AC8.tmp
- %TEMP%\~DFE196.tmp
- %TEMP%\~DFCE73.tmp
- %TEMP%\~DF8EFF.tmp
- %TEMP%\~DFA37F.tmp
- %TEMP%\~DF8E99.tmp
- %TEMP%\~DF29FB.tmp
- %TEMP%\~DFF268.tmp
- %TEMP%\~DFAF8E.tmp
- %TEMP%\~DFA729.tmp
- %TEMP%\~DFEDB0.tmp
- %TEMP%\~DFB347.tmp
- %TEMP%\~DFBC79.tmp
- %TEMP%\~DF5729.tmp
- %TEMP%\~DFDAF.tmp
- %TEMP%\~DFF666.tmp
- %TEMP%\~DFA762.tmp
- %TEMP%\~DFE59E.tmp
- %TEMP%\~DF9C86.tmp
- %TEMP%\~DF26B2.tmp
- %TEMP%\~DF75.tmp
- %TEMP%\~DFC4E4.tmp
- %TEMP%\~DF73E6.tmp
- %TEMP%\~DF1293.tmp
- %TEMP%\~DF211C.tmp
- %TEMP%\~DFAAB1.tmp
- %TEMP%\~DF6702.tmp
- %TEMP%\~DF92E8.tmp
- %TEMP%\~DF3A5A.tmp
- %TEMP%\~DF4C00.tmp
- %TEMP%\~DF1AE3.tmp
- %TEMP%\~DF8C29.tmp
- %TEMP%\~DF798A.tmp
- %TEMP%\~DF5F13.tmp
- %TEMP%\~DFA678.tmp
- %TEMP%\~DF83DA.tmp
- %TEMP%\~DF6E57.tmp
- %TEMP%\~DFD3D4.tmp
- %TEMP%\~DFBAEE.tmp
- %TEMP%\~DF906C.tmp
- %TEMP%\~DF614A.tmp
- %TEMP%\~DF5D3E.tmp
- %TEMP%\~DF59D4.tmp
- %TEMP%\~DFAA97.tmp
- %TEMP%\~DF96AC.tmp
- %TEMP%\~DF68AF.tmp
- %TEMP%\~DFDD88.tmp
- %TEMP%\~DF7680.tmp
- %TEMP%\~DF7167.tmp
- %TEMP%\~DF38B9.tmp
- %TEMP%\~DF948.tmp
- %TEMP%\~DFE05E.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
