Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{srzfotxh-agfh-gnra-btar-rywuyyxuxbte}] 'stubpath' = ''
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{oihpjrqg-qejh-rmsl-dhoc-wejshgwomkoz}] 'stubpath' = ''
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\inqcxrfhg.exe ZhuDongdel%TEMP%\server.exe
- <SYSTEM32>\inmprqjiy.exe ZhuDongdel%TEMP%\server.exe
- %TEMP%\А©7_64єшїАЕдј¦.exe
- %TEMP%\server.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\201984_res.tmp
- %TEMP%\203406_res.tmp
- <SYSTEM32>\MSWINSCK.ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bXN3aW5zY2sub2N4[1].ocx
- <SYSTEM32>\inmprqjiy.exe_lang.ini
- %TEMP%\server.exe
- %TEMP%\А©7_64єшїАЕдј¦.exe
- <SYSTEM32>\inqcxrfhg.exe
- <SYSTEM32>\inmprqjiy.exe
- <SYSTEM32>\inqcxrfhg.exe_lang.ini
Удаляет следующие файлы:
- %TEMP%\~DFDBA2.tmp
- %TEMP%\~DFACD.tmp
- %TEMP%\~DFADAD.tmp
- %TEMP%\~DF5093.tmp
- %TEMP%\~DF7F11.tmp
- %TEMP%\~DFC57E.tmp
- %TEMP%\~DFF42F.tmp
- %TEMP%\~DF96FE.tmp
- %TEMP%\~DF39D2.tmp
- %TEMP%\~DF686A.tmp
- %TEMP%\~DF2234.tmp
- %TEMP%\~DFB395.tmp
- %TEMP%\~DF97B.tmp
- %TEMP%\~DF84BA.tmp
- %TEMP%\~DF27E3.tmp
- %TEMP%\~DF56A6.tmp
- %TEMP%\~DFC54E.tmp
- %TEMP%\~DFF3AE.tmp
- %TEMP%\~DF9666.tmp
- %TEMP%\~DF37D4.tmp
- %TEMP%\~DF6835.tmp
- %TEMP%\~DFB143.tmp
- %TEMP%\~DFDFBD.tmp
- %TEMP%\~DF826A.tmp
- %TEMP%\~DF24FC.tmp
- %TEMP%\~DF53B3.tmp
- %TEMP%\~DF9C07.tmp
- %TEMP%\~DFCB2D.tmp
- %TEMP%\~DF6CEE.tmp
- %TEMP%\~DF12C6.tmp
- %TEMP%\~DF3E07.tmp
- %TEMP%\~DFF63C.tmp
- %TEMP%\~DFAEE2.tmp
- %TEMP%\~DFDD6E.tmp
- %TEMP%\~DF8005.tmp
- %TEMP%\~DF22E8.tmp
- %TEMP%\~DF515E.tmp
- %TEMP%\~DF98C2.tmp
- %TEMP%\~DFC78B.tmp
- %TEMP%\~DF69EC.tmp
- %TEMP%\~DFC60.tmp
- %TEMP%\~DF3AD0.tmp
- %TEMP%\~DF265A.tmp
- %TEMP%\~DF5412.tmp
- %TEMP%\~DFF8F1.tmp
- %TEMP%\~DF9DD7.tmp
- %TEMP%\~DFCB91.tmp
- %TEMP%\~DFAB3.tmp
- %TEMP%\~DF38E0.tmp
- %TEMP%\~DFDD41.tmp
- %TEMP%\~DF819E.tmp
- %TEMP%\~DFAFB4.tmp
- %TEMP%\~DF70C4.tmp
- %TEMP%\~DF913E.tmp
- %TEMP%\~DF5EC8.tmp
- %TEMP%\~DF219D.tmp
- %TEMP%\server.exe
- %TEMP%\~DFD0BD.tmp
- %TEMP%\~DF16DD.tmp
- %TEMP%\~DF42EB.tmp
- %TEMP%\~DFE922.tmp
- %TEMP%\~DF8CB8.tmp
- %TEMP%\~DFB9D0.tmp
- %TEMP%\~DFE8F7.tmp
- %TEMP%\~DF16F0.tmp
- %TEMP%\~DFBB54.tmp
- %TEMP%\~DF5F40.tmp
- %TEMP%\~DF8CD4.tmp
- %TEMP%\~DFCD85.tmp
- %TEMP%\~DFFC15.tmp
- %TEMP%\~DFA01F.tmp
- %TEMP%\~DF44E9.tmp
- %TEMP%\~DF7196.tmp
- %TEMP%\~DF314F.tmp
- %TEMP%\~DFF035.tmp
- %TEMP%\~DF1E3E.tmp
- %TEMP%\~DFC200.tmp
- %TEMP%\~DF6631.tmp
- %TEMP%\~DF947E.tmp
- %TEMP%\~DFD762.tmp
- %TEMP%\~DF2FB.tmp
- %TEMP%\~DFA940.tmp
- %TEMP%\~DF4C6C.tmp
- %TEMP%\~DF7B72.tmp
Перемещает следующие файлы:
- %TEMP%\203406_res.tmp в %TEMP%\203453_lang.dll
- %TEMP%\201984_res.tmp в %TEMP%\202046_lang.dll
Сетевая активность:
Подключается к:
- 'ei####.dothome.co.kr':80
- 'localhost':1041
- '27.##5.228.245':121
TCP:
Запросы HTTP GET:
- ei####.dothome.co.kr/bXN3aW5zY2sub2N4.ocx
UDP:
- DNS ASK ei####.dothome.co.kr
