Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\imthob.exe' (загружен из сети Интернет)
- 'C:\btwfg.exe' (загружен из сети Интернет)
- 'C:\geyslppd.exe' (загружен из сети Интернет)
- 'C:\vctfuoqn.exe' (загружен из сети Интернет)
- 'C:\gxbt.exe' (загружен из сети Интернет)
- 'C:\lcyc.exe' (загружен из сети Интернет)
Запускает на исполнение:
- 'C:\btwfg.exe'
- 'C:\geyslppd.exe'
- '<SYSTEM32>\cmd.exe' /c del <Полный путь к вирусу> > nul
- 'C:\imthob.exe'
- 'C:\vctfuoqn.exe'
- 'C:\gxbt.exe'
- 'C:\lcyc.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\imthob.exe
- C:\btwfg.exe
- C:\geyslppd.exe
- C:\lcyc.exe
- C:\-1998166001
- C:\vctfuoqn.exe
- C:\gxbt.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'cg###arlce.com':80
TCP:
Запросы HTTP GET:
- http://cg###arlce.com/progs/ijtkklp/ivwwnf.php
- http://cg###arlce.com/progs/ijtkklp/raeswxxo.php
- http://cg###arlce.com/progs/ijtkklp/llmzqrv.php?ad#############################################
- http://cg###arlce.com/progs/ijtkklp/hrvvjn
- http://cg###arlce.com/progs/ijtkklp/jgttyyld.php
- http://cg###arlce.com/progs/ijtkklp/gtgllc.php?ad########
- http://cg###arlce.com/progs/ijtkklp/abbct.php
- http://cg###arlce.com/progs/ijtkklp/pcguuyzd.php
UDP:
- DNS ASK cg###arlce.com
