Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\rijxj.exe'
- '%TEMP%\-1998166001'
- '%TEMP%\wslpvofw.exe'
- '%TEMP%\cgrxbubp.exe'
- '%TEMP%\hcthrca.exe'
- '%TEMP%\gbwjfqrc.exe'
- '%TEMP%\kbxpgume.exe'
- '%TEMP%\ddhxc.exe'
- '%TEMP%\wefcu.exe'
- '%TEMP%\lwsqljh.exe'
- '%TEMP%\hnst.exe'
- '%TEMP%\skaemdx.exe'
- '%TEMP%\wslpvofw.exe' (загружен из сети Интернет)
- '%TEMP%\hcthrca.exe' (загружен из сети Интернет)
- '%TEMP%\cgrxbubp.exe' (загружен из сети Интернет)
- '%TEMP%\hnst.exe' (загружен из сети Интернет)
- '%TEMP%\lwsqljh.exe' (загружен из сети Интернет)
- '%TEMP%\skaemdx.exe' (загружен из сети Интернет)
- '%TEMP%\wefcu.exe' (загружен из сети Интернет)
- '%TEMP%\ddhxc.exe' (загружен из сети Интернет)
- '%TEMP%\kbxpgume.exe' (загружен из сети Интернет)
- '%TEMP%\gbwjfqrc.exe' (загружен из сети Интернет)
- '%TEMP%\rijxj.exe' (загружен из сети Интернет)
- '%TEMP%\-1998166001' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c del <SYSTEM32>\svchost.exe > nul
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tyfnhc[1].php
- %TEMP%\hcthrca.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\izgowq[1].php
- %TEMP%\kbxpgume.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\qhlkrzhf[1].php
- %TEMP%\gbwjfqrc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\sjnlgn[1].php
- %TEMP%\hnst.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\zptfzubjhp[1].php
- %TEMP%\cgrxbubp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xavdxsz[1].php
- %TEMP%\wslpvofw.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mmaucwe[1].php
- %TEMP%\wefcu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kbwdyfeyta[1].php
- %TEMP%\lwsqljh.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xbvqxsa[1].php
- %TEMP%\ddhxc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\hyfaitavt[1].php
- %TEMP%\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cptrlg[1].php
- %TEMP%\rijxj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iztbjhowu[1].php
- %TEMP%\skaemdx.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ultamgbih[1].php
Удаляет следующие файлы:
- <SYSTEM32>\svchost.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ac###ern.com':80
TCP:
Запросы HTTP GET:
- http://ac###ern.com/timuo/izgowq.php?ad########
- http://ac###ern.com/timuo/tyfnhc.php?ad########
- http://ac###ern.com/timuo/qhlkrzhf.php?ad########
- http://ac###ern.com/timuo/zptfzubjhp.php?ad#####################################################
- http://ac###ern.com/timuo/sjnlgn.php?ad########
- http://ac###ern.com/timuo/xavdxsz.php?ad########
- http://ac###ern.com/timuo/mmaucwe.php?ad########
- http://ac###ern.com/timuo/kbwdyfeyta.php?ad########
- http://ac###ern.com/timuo/xbvqxsa.php?ad########
- http://ac###ern.com/timuo/hyfaitavt.php?ad########
- http://ac###ern.com/timuo/cptrlg.php?ad########
- http://ac###ern.com/timuo/ultamgbih.php?ad########
- http://ac###ern.com/timuo/iztbjhowu.php?ad########
UDP:
- DNS ASK ac###ern.com
