Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\rehbxvvg.exe'
- '%TEMP%\gopgve.exe'
- '%TEMP%\riegv.exe'
- '%TEMP%\fyomk.exe'
- '%TEMP%\rbnkslm.exe'
- '%TEMP%\vksihwrk.exe'
- '%TEMP%\aguidbv.exe'
- '%TEMP%\aldqaqdg.exe'
- '%TEMP%\brljt.exe'
- '%TEMP%\owsnsgyk.exe'
- '%TEMP%\ygntym.exe'
- '%TEMP%\-1998166001'
- '%TEMP%\aldqaqdg.exe' (загружен из сети Интернет)
- '%TEMP%\fyomk.exe' (загружен из сети Интернет)
- '%TEMP%\riegv.exe' (загружен из сети Интернет)
- '%TEMP%\rbnkslm.exe' (загружен из сети Интернет)
- '%TEMP%\ygntym.exe' (загружен из сети Интернет)
- '%TEMP%\-1998166001' (загружен из сети Интернет)
- '%TEMP%\owsnsgyk.exe' (загружен из сети Интернет)
- '%TEMP%\brljt.exe' (загружен из сети Интернет)
- '%TEMP%\aguidbv.exe' (загружен из сети Интернет)
- '%TEMP%\vksihwrk.exe' (загружен из сети Интернет)
- '%TEMP%\gopgve.exe' (загружен из сети Интернет)
- '%TEMP%\rehbxvvg.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c del <SYSTEM32>\svchost.exe > nul
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xkxobf[1].php
- %TEMP%\rbnkslm.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rersiwjnar[1].php
- %TEMP%\aguidbv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\wjwjaofe[1].php
- %TEMP%\vksihwrk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kkylccpt[1].php
- %TEMP%\aldqaqdg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iffwjnarrs[1].php
- %TEMP%\fyomk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ttgullppgg[1].php
- %TEMP%\riegv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\zznareevv[1].php
- %TEMP%\brljt.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\uvivizzqeu[1].php
- %TEMP%\ygntym.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tgxkkoct[1].php
- %TEMP%\owsnsgyk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vvivz[1].php
- %TEMP%\gopgve.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\liymmdqdq[1].php
- %TEMP%\rehbxvvg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\sfwwkoesjj[1].php
- %TEMP%\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\nkxboff[1].php
Удаляет следующие файлы:
- <SYSTEM32>\svchost.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ah###est.com':80
TCP:
Запросы HTTP GET:
- http://ah###est.com/foccpt/rersiwjnar.php?ad####################################
- http://ah###est.com/foccpt/xkxobf.php?ad####################################
- http://ah###est.com/foccpt/wjwjaofe.php?ad####################################
- http://ah###est.com/foccpt/iffwjnarrs.php?ad##################################################################
- http://ah###est.com/foccpt/kkylccpt.php?ad####################################
- http://ah###est.com/foccpt/ttgullppgg.php?ad####################################
- http://ah###est.com/foccpt/zznareevv.php?ad####################################
- http://ah###est.com/foccpt/uvivizzqeu.php?ad####################################
- http://ah###est.com/foccpt/tgxkkoct.php?ad####################################
- http://ah###est.com/foccpt/vvivz.php?ad####################################
- http://ah###est.com/foccpt/liymmdqdq.php?ad####################################
- http://ah###est.com/foccpt/nkxboff.php?ad####################################
- http://ah###est.com/foccpt/sfwwkoesjj.php?ad####################################
UDP:
- DNS ASK ah###est.com
