Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\ufljmhbw.exe'
- '<SYSTEM32>\lxxjsbbi.exe'
- '<SYSTEM32>\qtmikdsm.exe'
- '<SYSTEM32>\hmwhitcy.exe'
- '<SYSTEM32>\xomzcdbe.exe'
- '<SYSTEM32>\pgsxaxtk.exe'
- '<SYSTEM32>\bdtrbzcy.exe'
- '<SYSTEM32>\hsokijty.exe'
- '<SYSTEM32>\nvueaeii.exe'
- '<SYSTEM32>\sfmqtbdx.exe'
- '<SYSTEM32>\rjuonlli.exe'
- '<SYSTEM32>\ebvtunab.exe'
- '<SYSTEM32>\rkxlcnsc.exe'
- '<SYSTEM32>\fhveqslg.exe'
- '<SYSTEM32>\njxeftgx.exe'
- '<SYSTEM32>\fzwjnlge.exe'
- '<SYSTEM32>\cwpmrsjr.exe'
- '<SYSTEM32>\olmuneii.exe'
- '<SYSTEM32>\hlhzgqqd.exe'
- '<SYSTEM32>\wnxuswcu.exe'
- '<SYSTEM32>\okohjqkj.exe'
- '<SYSTEM32>\gxofyrkf.exe'
- '<SYSTEM32>\mbeqitly.exe'
- '<SYSTEM32>\vrhqwcvr.exe'
- '<SYSTEM32>\xtmrljqm.exe'
- '<SYSTEM32>\lxwitklu.exe'
- '<SYSTEM32>\kwlmnfkw.exe'
- '<SYSTEM32>\unotutww.exe'
- '<SYSTEM32>\xuhzrspf.exe'
- '<SYSTEM32>\spcyskoc.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~DFE7B8.tmp
- %TEMP%\~DF3A7.tmp
- <SYSTEM32>\ufljmhbw.exe
- %TEMP%\~DF8000.tmp
- %TEMP%\~DFA051.tmp
- <SYSTEM32>\lxxjsbbi.exe
- %TEMP%\~DF987A.tmp
- %TEMP%\~DFB8DF.tmp
- <SYSTEM32>\qtmikdsm.exe
- %TEMP%\~DF3D5A.tmp
- %TEMP%\~DF5E57.tmp
- %TEMP%\~DF83E0.tmp
- <SYSTEM32>\pgsxaxtk.exe
- %TEMP%\~DF6782.tmp
- %TEMP%\~DF3080.tmp
- <SYSTEM32>\xomzcdbe.exe
- %TEMP%\~DFD563.tmp
- %TEMP%\~DF4A78.tmp
- <SYSTEM32>\hmwhitcy.exe
- %TEMP%\~DF2A8F.tmp
- %TEMP%\~DFF3A4.tmp
- <SYSTEM32>\bdtrbzcy.exe
- <SYSTEM32>\hsokijty.exe
- <SYSTEM32>\nvueaeii.exe
- %TEMP%\~DFFF40.tmp
- %TEMP%\~DFC959.tmp
- <SYSTEM32>\ebvtunab.exe
- %TEMP%\~DFA8EC.tmp
- %TEMP%\~DF1FD9.tmp
- <SYSTEM32>\rjuonlli.exe
- %TEMP%\~DFD134.tmp
- %TEMP%\~DF9B9A.tmp
- <SYSTEM32>\sfmqtbdx.exe
- %TEMP%\~DF79A2.tmp
- %TEMP%\~DF6933.tmp
- %TEMP%\~DF8986.tmp
- <SYSTEM32>\rkxlcnsc.exe
- %TEMP%\~DF12E1.tmp
- %TEMP%\~DF332F.tmp
- <SYSTEM32>\fhveqslg.exe
- %TEMP%\~DF2DF0.tmp
- %TEMP%\~DF4E55.tmp
- <SYSTEM32>\njxeftgx.exe
- %TEMP%\~DFD1A8.tmp
- %TEMP%\~DFF239.tmp
- %TEMP%\~DF129C.tmp
- <SYSTEM32>\fzwjnlge.exe
- %TEMP%\~DF53FA.tmp
- %TEMP%\~DF20E8.tmp
- <SYSTEM32>\hlhzgqqd.exe
- %TEMP%\~DFFFD3.tmp
- %TEMP%\~DF73D6.tmp
- <SYSTEM32>\olmuneii.exe
- %TEMP%\~DF134D.tmp
- %TEMP%\~DFDAD6.tmp
- <SYSTEM32>\cwpmrsjr.exe
- %TEMP%\~DFBA00.tmp
- %TEMP%\~DFE54C.tmp
- %TEMP%\~DF2D1.tmp
- <SYSTEM32>\wnxuswcu.exe
- %TEMP%\~DF6CCA.tmp
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\okohjqkj.exe
- %TEMP%\~DFAA6E.tmp
- %TEMP%\~DFC974.tmp
- <SYSTEM32>\gxofyrkf.exe
- %TEMP%\~DF41AB.tmp
- %TEMP%\~DF5E81.tmp
- %TEMP%\~DF33D5.tmp
- %TEMP%\~DF1EAB.tmp
- <SYSTEM32>\vrhqwcvr.exe
- %TEMP%\~DF249.tmp
- %TEMP%\~DFCADE.tmp
- <SYSTEM32>\kwlmnfkw.exe
- %TEMP%\~DF56C1.tmp
- %TEMP%\~DFDB9C.tmp
- <SYSTEM32>\lxwitklu.exe
- %TEMP%\~DFBDA7.tmp
- %TEMP%\~DF7399.tmp
- <SYSTEM32>\xtmrljqm.exe
- <SYSTEM32>\unotutww.exe
- %TEMP%\~DFE01D.tmp
- %TEMP%\~DF8477.tmp
- <SYSTEM32>\mbeqitly.exe
- %TEMP%\~DF675E.tmp
- %TEMP%\~DFFFB9.tmp
- <SYSTEM32>\spcyskoc.exe
- %TEMP%\~DFA5CA.tmp
- %TEMP%\~DF5447.tmp
- <SYSTEM32>\xuhzrspf.exe
- %TEMP%\~DF347E.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ufljmhbw.exe
- <SYSTEM32>\lxxjsbbi.exe
- <SYSTEM32>\qtmikdsm.exe
- <SYSTEM32>\hmwhitcy.exe
- <SYSTEM32>\xomzcdbe.exe
- <SYSTEM32>\pgsxaxtk.exe
- <SYSTEM32>\bdtrbzcy.exe
- <SYSTEM32>\hsokijty.exe
- <SYSTEM32>\nvueaeii.exe
- <SYSTEM32>\sfmqtbdx.exe
- <SYSTEM32>\rjuonlli.exe
- <SYSTEM32>\ebvtunab.exe
- <SYSTEM32>\rkxlcnsc.exe
- <SYSTEM32>\fhveqslg.exe
- <SYSTEM32>\njxeftgx.exe
- <SYSTEM32>\fzwjnlge.exe
- <SYSTEM32>\cwpmrsjr.exe
- <SYSTEM32>\olmuneii.exe
- <SYSTEM32>\hlhzgqqd.exe
- <SYSTEM32>\wnxuswcu.exe
- <SYSTEM32>\okohjqkj.exe
- <SYSTEM32>\gxofyrkf.exe
- <SYSTEM32>\mbeqitly.exe
- <SYSTEM32>\vrhqwcvr.exe
- <SYSTEM32>\xtmrljqm.exe
- <SYSTEM32>\lxwitklu.exe
- <SYSTEM32>\kwlmnfkw.exe
- <SYSTEM32>\unotutww.exe
- <SYSTEM32>\xuhzrspf.exe
- <SYSTEM32>\spcyskoc.exe
Удаляет следующие файлы:
- %TEMP%\~DF3A7.tmp
- %TEMP%\~DFA051.tmp
- %TEMP%\~DF2A8F.tmp
- %TEMP%\~DF8000.tmp
- %TEMP%\~DF3D5A.tmp
- %TEMP%\~DFE7B8.tmp
- %TEMP%\~DF5E57.tmp
- %TEMP%\~DF129C.tmp
- %TEMP%\~DF83E0.tmp
- %TEMP%\~DFBDA7.tmp
- %TEMP%\~DF6782.tmp
- %TEMP%\~DF4A78.tmp
- %TEMP%\~DFD563.tmp
- %TEMP%\~DFF3A4.tmp
- %TEMP%\~DFB8DF.tmp
- %TEMP%\~DFC959.tmp
- %TEMP%\~DF2DF0.tmp
- %TEMP%\~DF4E55.tmp
- %TEMP%\~DFA8EC.tmp
- %TEMP%\~DFFF40.tmp
- %TEMP%\~DF9B9A.tmp
- %TEMP%\~DF1FD9.tmp
- %TEMP%\~DF12E1.tmp
- %TEMP%\~DF332F.tmp
- %TEMP%\~DF987A.tmp
- %TEMP%\~DF8986.tmp
- %TEMP%\~DFD1A8.tmp
- %TEMP%\~DFF239.tmp
- %TEMP%\~DF6933.tmp
- %TEMP%\~DFFFD3.tmp
- %TEMP%\~DF73D6.tmp
- %TEMP%\~DF20E8.tmp
- %TEMP%\~DFDAD6.tmp
- %TEMP%\~DFBA00.tmp
- %TEMP%\~DF33D5.tmp
- %TEMP%\~DF53FA.tmp
- %TEMP%\~DFE54C.tmp
- %TEMP%\~DF6CCA.tmp
- %TEMP%\~DF2D1.tmp
- %TEMP%\~DF5E81.tmp
- %TEMP%\~DFAA6E.tmp
- %TEMP%\~DF41AB.tmp
- %TEMP%\~DFC974.tmp
- %TEMP%\~DF8477.tmp
- %TEMP%\~DF7399.tmp
- %TEMP%\~DFA5CA.tmp
- %TEMP%\~DF1EAB.tmp
- %TEMP%\~DF249.tmp
- %TEMP%\~DF3080.tmp
- %TEMP%\~DF56C1.tmp
- %TEMP%\~DFDB9C.tmp
- %TEMP%\~DF675E.tmp
- %TEMP%\~DFFFB9.tmp
- %TEMP%\~DF134D.tmp
- %TEMP%\~DF5447.tmp
- %TEMP%\~DF347E.tmp
- %TEMP%\~DFCADE.tmp
- %TEMP%\~DFE01D.tmp
Сетевая активность:
Подключается к:
- 'localhost':1075
- 'localhost':1077
- 'localhost':1079
- 'localhost':1073
- 'localhost':1067
- 'localhost':1069
- 'localhost':1071
- 'localhost':1081
- 'localhost':1091
- 'localhost':1093
- 'localhost':1095
- 'localhost':1089
- 'localhost':1083
- 'localhost':1085
- 'localhost':1087
- 'localhost':1065
- 'localhost':1043
- 'localhost':1045
- 'localhost':1047
- 'localhost':1041
- 'localhost':1036
- 'pd###.egloos.com':80
- 'localhost':1039
- 'localhost':1049
- 'localhost':1059
- 'localhost':1061
- 'localhost':1063
- 'localhost':1057
- 'localhost':1051
- 'localhost':1053
- 'localhost':1055
TCP:
Запросы HTTP GET:
- http://pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
