Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\qbcfpi.exe'
- '%TEMP%\tgwpqmyf.exe'
- '%TEMP%\mabqqus.exe'
- '%TEMP%\styyv.exe'
- '%TEMP%\vffocjc.exe'
- '%TEMP%\ugokqhu.exe'
- '%TEMP%\huyasdh.exe'
- '%TEMP%\wfvvohnd.exe'
- '%TEMP%\ravnsf.exe'
- '%TEMP%\bdkuesy.exe'
- '%TEMP%\siiuhukv.exe'
- '%TEMP%\-1998166001'
- '%TEMP%\huyasdh.exe' (загружен из сети Интернет)
- '%TEMP%\siiuhukv.exe' (загружен из сети Интернет)
- '%TEMP%\vffocjc.exe' (загружен из сети Интернет)
- '%TEMP%\mabqqus.exe' (загружен из сети Интернет)
- '%TEMP%\wfvvohnd.exe' (загружен из сети Интернет)
- '%TEMP%\-1998166001' (загружен из сети Интернет)
- '%TEMP%\ravnsf.exe' (загружен из сети Интернет)
- '%TEMP%\bdkuesy.exe' (загружен из сети Интернет)
- '%TEMP%\styyv.exe' (загружен из сети Интернет)
- '%TEMP%\ugokqhu.exe' (загружен из сети Интернет)
- '%TEMP%\tgwpqmyf.exe' (загружен из сети Интернет)
- '%TEMP%\qbcfpi.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c del <SYSTEM32>\svchost.exe > nul
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\nabfswwnn[1].php
- %TEMP%\vffocjc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\oxybcg[1].php
- %TEMP%\styyv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ererijznnr[1].php
- %TEMP%\ugokqhu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\sfsswwaoef[1].php
- %TEMP%\siiuhukv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\xlycctxmj[1].php
- %TEMP%\huyasdh.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\dreiizm[1].php
- %TEMP%\mabqqus.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zmmmdq[1].php
- %TEMP%\ravnsf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cpdqhuu[1].php
- %TEMP%\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ciivvmnd[1].php
- %TEMP%\bdkuesy.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\veivm[1].php
- %TEMP%\tgwpqmyf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\qanarmz[1].php
- %TEMP%\qbcfpi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\xklypptgx[1].php
- %TEMP%\wfvvohnd.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fsggtxx[1].php
Удаляет следующие файлы:
- <SYSTEM32>\svchost.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ca###yon.com':80
TCP:
Запросы HTTP GET:
- http://ca###yon.com/pdzqq/oxybcg.php?ad####################################
- http://ca###yon.com/pdzqq/nabfswwnn.php?ad####################################
- http://ca###yon.com/pdzqq/ererijznnr.php?ad####################################
- http://ca###yon.com/pdzqq/xlycctxmj.php?ad##################################################################
- http://ca###yon.com/pdzqq/sfsswwaoef.php?ad####################################
- http://ca###yon.com/pdzqq/dreiizm.php?ad####################################
- http://ca###yon.com/pdzqq/zmmmdq.php?ad####################################
- http://ca###yon.com/pdzqq/cpdqhuu.php?ad####################################
- http://ca###yon.com/pdzqq/veivm.php?ad####################################
- http://ca###yon.com/pdzqq/ciivvmnd.php?ad####################################
- http://ca###yon.com/pdzqq/qanarmz.php?ad####################################
- http://ca###yon.com/pdzqq/fsggtxx.php?ad####################################
- http://ca###yon.com/pdzqq/xklypptgx.php?ad####################################
UDP:
- DNS ASK ca###yon.com
