Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nris.exe'
- '%TEMP%\biojtq.exe'
- '%TEMP%\ymlaxvto.exe'
- '%TEMP%\ojyygnq.exe'
- '%TEMP%\dacci.exe'
- '%TEMP%\gmqmbe.exe'
- '%TEMP%\-1998166001'
- '%TEMP%\xdjdodg.exe'
- '%TEMP%\ggqb.exe'
- '%TEMP%\wxfcmc.exe'
- '%TEMP%\pfchpsp.exe'
- '%TEMP%\hhkmnb.exe'
- '%TEMP%\hhkmnb.exe' (загружен из сети Интернет)
- '%TEMP%\ymlaxvto.exe' (загружен из сети Интернет)
- '%TEMP%\ojyygnq.exe' (загружен из сети Интернет)
- '%TEMP%\dacci.exe' (загружен из сети Интернет)
- '%TEMP%\pfchpsp.exe' (загружен из сети Интернет)
- '%TEMP%\xdjdodg.exe' (загружен из сети Интернет)
- '%TEMP%\ggqb.exe' (загружен из сети Интернет)
- '%TEMP%\wxfcmc.exe' (загружен из сети Интернет)
- '%TEMP%\-1998166001' (загружен из сети Интернет)
- '%TEMP%\gmqmbe.exe' (загружен из сети Интернет)
- '%TEMP%\biojtq.exe' (загружен из сети Интернет)
- '%TEMP%\nris.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c del <SYSTEM32>\svchost.exe > nul
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\scctgxkbb[1].php
- %TEMP%\dacci.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bosgwxbeff[1].php
- %TEMP%\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hhlycptx[1].php
- %TEMP%\gmqmbe.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\uhhymdqu[1].php
- %TEMP%\hhkmnb.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kxyyp[1].php
- %TEMP%\ojyygnq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\sbsfwao[1].php
- %TEMP%\ymlaxvto.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\vvvjzar[1].php
- %TEMP%\wxfcmc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ivjwneei[1].php
- %TEMP%\xdjdodg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lmzdd[1].php
- %TEMP%\ggqb.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\lyyyzdduh[1].php
- %TEMP%\nris.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vvvmmddhvl[1].php
- %TEMP%\biojtq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\nnrfjmqeh[1].php
- %TEMP%\pfchpsp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\wjwwnae[1].php
Удаляет следующие файлы:
- <SYSTEM32>\svchost.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ah###est.com':80
TCP:
Запросы HTTP GET:
- http://ah###est.com/bdqqu/bosgwxbeff.php?ad####################################
- http://ah###est.com/bdqqu/scctgxkbb.php?ad####################################
- http://ah###est.com/bdqqu/hhlycptx.php?ad####################################
- http://ah###est.com/bdqqu/kxyyp.php?ad##################################################################
- http://ah###est.com/bdqqu/uhhymdqu.php?ad####################################
- http://ah###est.com/bdqqu/sbsfwao.php?ad####################################
- http://ah###est.com/bdqqu/vvvjzar.php?ad####################################
- http://ah###est.com/bdqqu/ivjwneei.php?ad####################################
- http://ah###est.com/bdqqu/lyyyzdduh.php?ad####################################
- http://ah###est.com/bdqqu/lmzdd.php?ad####################################
- http://ah###est.com/bdqqu/vvvmmddhvl.php?ad####################################
- http://ah###est.com/bdqqu/wjwwnae.php?ad####################################
- http://ah###est.com/bdqqu/nnrfjmqeh.php?ad####################################
UDP:
- DNS ASK ah###est.com
