Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\aayvizus.exe'
- '<SYSTEM32>\zmaumeqm.exe'
- '<SYSTEM32>\amcnuruy.exe'
- '<SYSTEM32>\ixgvbebj.exe' /pid=3176
- '<SYSTEM32>\jurfcknv.exe'
- '<SYSTEM32>\zkpsuknm.exe' -Embedding
- '<SYSTEM32>\yebfyuzm.exe' <Служебный элемент>
- '<SYSTEM32>\zkpsuknm.exe'
- '<SYSTEM32>\wqgqulvw.exe'
- '<SYSTEM32>\yebfyuzm.exe'
- '<SYSTEM32>\ixgvbebj.exe'
- '<SYSTEM32>\abqpqbby.exe'
- '<SYSTEM32>\ovbahvcu.exe'
- '<SYSTEM32>\hljamhex.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\amcnuruy.exe
- <SYSTEM32>\abqpqbby.exe
- <SYSTEM32>\ovbahvcu.exe
- <SYSTEM32>\zmaumeqm.exe
- <SYSTEM32>\jurfcknv.exe
- <Служебный элемент>
- <SYSTEM32>\aayvizus.exe
- <SYSTEM32>\yebfyuzm.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\wqgqulvw.exe
- <SYSTEM32>\hljamhex.exe
- <SYSTEM32>\ixgvbebj.exe
- <SYSTEM32>\zkpsuknm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\amcnuruy.exe
- <SYSTEM32>\abqpqbby.exe
- <SYSTEM32>\zmaumeqm.exe
- <SYSTEM32>\jurfcknv.exe
- <SYSTEM32>\aayvizus.exe
- <SYSTEM32>\ovbahvcu.exe
- <SYSTEM32>\wqgqulvw.exe
- <SYSTEM32>\yebfyuzm.exe
- <SYSTEM32>\zkpsuknm.exe
- <SYSTEM32>\hljamhex.exe
- <SYSTEM32>\ixgvbebj.exe
Удаляет следующие файлы:
- %TEMP%\~DFE30.tmp
- %TEMP%\~DFE86D.tmp
- %TEMP%\~DF1C69.tmp
- %TEMP%\~DF4CDE.tmp
- %TEMP%\~DF3D75.tmp
- %TEMP%\~DFD121.tmp
- %TEMP%\~DFCC60.tmp
- %TEMP%\~DFBD4D.tmp
- %TEMP%\~DFC273.tmp
- %TEMP%\~DFD1C4.tmp
- %TEMP%\~DFCD2E.tmp
- %TEMP%\~DFD460.tmp
- %TEMP%\~DF757B.tmp
- %TEMP%\~DF8EE9.tmp
- %TEMP%\~DFE1CA.tmp
- %TEMP%\~DFBC1C.tmp
- %TEMP%\~DF5B51.tmp
- %TEMP%\~DF43BB.tmp
- %TEMP%\~DF5C80.tmp
- %TEMP%\~DF8047.tmp
- %TEMP%\~DF94E4.tmp
- %TEMP%\~DF5BCA.tmp
- %TEMP%\~DFFB4.tmp
- %TEMP%\~DFB031.tmp
- %TEMP%\~DFE448.tmp
- %TEMP%\~DFFE39.tmp
- %TEMP%\~DFD6A.tmp
- %TEMP%\~DFE934.tmp
- %TEMP%\~DF7E0E.tmp
- %TEMP%\~DFA2E4.tmp
- %TEMP%\~DF808E.tmp
- %TEMP%\~DFDC17.tmp
- %TEMP%\~DFAE45.tmp
- %TEMP%\~DFA928.tmp
- %TEMP%\~DF578F.tmp
- %TEMP%\~DFFACE.tmp
- %TEMP%\~DF6DC5.tmp
- %TEMP%\~DF3D34.tmp
- %TEMP%\~DF30A8.tmp
- %TEMP%\~DFD31.tmp
- %TEMP%\~DF4288.tmp
- %TEMP%\~DF4D7E.tmp
- %TEMP%\~DF3D8E.tmp
- %TEMP%\~DF7E6C.tmp
- %TEMP%\~DF734E.tmp
- %TEMP%\~DF8405.tmp
- %TEMP%\~DF8742.tmp
- %TEMP%\~DF8D18.tmp
- %TEMP%\~DF888C.tmp
- %TEMP%\~DF6945.tmp
- %TEMP%\~DFC25D.tmp
- %TEMP%\~DF5AB5.tmp
- %TEMP%\~DF614E.tmp
- %TEMP%\~DF6D57.tmp
- %TEMP%\~DF7379.tmp
- %TEMP%\~DFFA14.tmp
- %TEMP%\~DF1B90.tmp
- %TEMP%\~DF2F88.tmp
- %TEMP%\~DF4909.tmp
- %TEMP%\~DF46A4.tmp
- %TEMP%\~DF23F.tmp
- %TEMP%\~DFAC5E.tmp
- %TEMP%\~DF9612.tmp
- %TEMP%\~DFBF9B.tmp
- %TEMP%\~DFF7D9.tmp
- %TEMP%\~DFE4CA.tmp
- %TEMP%\~DFD62.tmp
- %TEMP%\~DF2F48.tmp
- %TEMP%\~DF57E1.tmp
- %TEMP%\~DF744A.tmp
- %TEMP%\~DF5000.tmp
- %TEMP%\~DF23D7.tmp
- %TEMP%\~DFA48.tmp
- %TEMP%\~DF9F0.tmp
- %TEMP%\~DF7BBD.tmp
- %TEMP%\~DF2927.tmp
- %TEMP%\~DFC772.tmp
- %TEMP%\~DFE112.tmp
- %TEMP%\~DFDE58.tmp
- %TEMP%\~DFE15C.tmp
- %TEMP%\~DFE353.tmp
- %TEMP%\~DFCCC5.tmp
- %TEMP%\~DFB4CD.tmp
- %TEMP%\~DF5A74.tmp
- %TEMP%\~DF5AFE.tmp
- %TEMP%\~DF5B86.tmp
- %TEMP%\~DFB577.tmp
- %TEMP%\~DF7E33.tmp
- %TEMP%\~DF7967.tmp
- %TEMP%\~DF45BF.tmp
- %TEMP%\~DF8BCD.tmp
- %TEMP%\~DFB2F6.tmp
- %TEMP%\~DF7DB7.tmp
- %TEMP%\~DF601B.tmp
- %TEMP%\~DF2AA8.tmp
- %TEMP%\~DF13BE.tmp
- %TEMP%\~DF3D05.tmp
- %TEMP%\~DF5EE9.tmp
- %TEMP%\~DF1E36.tmp
- %TEMP%\~DF9A85.tmp
- %TEMP%\~DF6C54.tmp
- %TEMP%\~DF95FB.tmp
- %TEMP%\~DFF28C.tmp
- %TEMP%\~DFC9F8.tmp
- %TEMP%\~DF8383.tmp
- %TEMP%\~DFA122.tmp
- %TEMP%\~DF8CB8.tmp
- %TEMP%\~DFDA14.tmp
- %TEMP%\~DF18BB.tmp
- %TEMP%\~DF159E.tmp
- %TEMP%\~DF7119.tmp
- %TEMP%\~DF5D29.tmp
- %TEMP%\~DF6A5E.tmp
- %TEMP%\~DFAFFE.tmp
- %TEMP%\~DF81C2.tmp
- %TEMP%\~DF4AB8.tmp
- %TEMP%\~DF7D75.tmp
- %TEMP%\~DF6A1F.tmp
- %TEMP%\~DF8F0D.tmp
- %TEMP%\~DFDA2B.tmp
- %TEMP%\~DFB325.tmp
- %TEMP%\~DF6B95.tmp
- %TEMP%\~DF316E.tmp
- %TEMP%\~DF7A39.tmp
- %TEMP%\~DFF02F.tmp
- %TEMP%\~DFA3FC.tmp
- %TEMP%\~DF60A8.tmp
- %TEMP%\~DFFAEC.tmp
- %TEMP%\~DF933B.tmp
- %TEMP%\~DFE156.tmp
- %TEMP%\~DF17FE.tmp
- %TEMP%\~DF49BE.tmp
- %TEMP%\~DFDD70.tmp
- %TEMP%\~DFA0F0.tmp
- %TEMP%\~DFCBC2.tmp
- %TEMP%\~DFF600.tmp
- %TEMP%\~DFD01D.tmp
- %TEMP%\~DFAA4A.tmp
- %TEMP%\~DFCF65.tmp
- %TEMP%\~DFC3D5.tmp
- %TEMP%\~DF50E6.tmp
- %TEMP%\~DFABFD.tmp
- %TEMP%\~DF5158.tmp
- %TEMP%\~DFA346.tmp
- %TEMP%\~DF7383.tmp
- %TEMP%\~DF76F8.tmp
- %TEMP%\~DF7C72.tmp
- %TEMP%\~DF7B5D.tmp
- %TEMP%\~DF7188.tmp
- %TEMP%\~DFF92F.tmp
- %TEMP%\~DF14FC.tmp
- %TEMP%\~DF4A56.tmp
- %TEMP%\~DF4549.tmp
- %TEMP%\~DF153B.tmp
- %TEMP%\~DF4590.tmp
- %TEMP%\~DF54D7.tmp
- %TEMP%\~DF94B4.tmp
- %TEMP%\~DF1AD2.tmp
- %TEMP%\~DF11D1.tmp
- %TEMP%\~DF1EA6.tmp
- %TEMP%\~DFB89A.tmp
- %TEMP%\~DF1434.tmp
- %TEMP%\~DFB362.tmp
- %TEMP%\~DF473A.tmp
- %TEMP%\~DFDA18.tmp
- %TEMP%\~DF5A6E.tmp
- %TEMP%\~DF8F9B.tmp
- %TEMP%\~DF7F16.tmp
- %TEMP%\~DFAEB5.tmp
- %TEMP%\~DFC38E.tmp
- %TEMP%\~DF86E5.tmp
- %TEMP%\~DF45B8.tmp
- %TEMP%\~DF209B.tmp
- %TEMP%\~DF4FFE.tmp
- %TEMP%\~DF494F.tmp
- %TEMP%\~DF5CA8.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
