Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\bkmgwxoz.exe'
- '<SYSTEM32>\nydlxedm.exe'
- '<SYSTEM32>\evmvyeni.exe'
- '<SYSTEM32>\elqegcop.exe'
- '<SYSTEM32>\epqoaqls.exe'
- '<SYSTEM32>\adahccqe.exe'
- '<SYSTEM32>\lypagywh.exe'
- '<SYSTEM32>\kzjqhfqr.exe'
- '<SYSTEM32>\oudovnvu.exe'
- '<SYSTEM32>\tbmfyecm.exe'
- '<SYSTEM32>\frxcuyno.exe'
- '<SYSTEM32>\aavftaot.exe'
- '<SYSTEM32>\nwaklmmb.exe'
- '<SYSTEM32>\qyjvucyu.exe'
- '<SYSTEM32>\ftagpmsa.exe'
- '<SYSTEM32>\ljbhfdlt.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\elqegcop.exe
- <SYSTEM32>\bkmgwxoz.exe
- <SYSTEM32>\qyjvucyu.exe
- <SYSTEM32>\evmvyeni.exe
- <SYSTEM32>\nydlxedm.exe
- <SYSTEM32>\epqoaqls.exe
- <SYSTEM32>\adahccqe.exe
- <SYSTEM32>\lypagywh.exe
- <SYSTEM32>\kzjqhfqr.exe
- <SYSTEM32>\nwaklmmb.exe
- <SYSTEM32>\frxcuyno.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\aavftaot.exe
- <SYSTEM32>\ftagpmsa.exe
- <SYSTEM32>\ljbhfdlt.exe
- <SYSTEM32>\oudovnvu.exe
- <SYSTEM32>\tbmfyecm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\bkmgwxoz.exe
- <SYSTEM32>\nydlxedm.exe
- <SYSTEM32>\evmvyeni.exe
- <SYSTEM32>\elqegcop.exe
- <SYSTEM32>\epqoaqls.exe
- <SYSTEM32>\adahccqe.exe
- <SYSTEM32>\lypagywh.exe
- <SYSTEM32>\kzjqhfqr.exe
- <SYSTEM32>\oudovnvu.exe
- <SYSTEM32>\tbmfyecm.exe
- <SYSTEM32>\frxcuyno.exe
- <SYSTEM32>\aavftaot.exe
- <SYSTEM32>\nwaklmmb.exe
- <SYSTEM32>\qyjvucyu.exe
- <SYSTEM32>\ftagpmsa.exe
- <SYSTEM32>\ljbhfdlt.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
Сетевая активность:
Подключается к:
- 'localhost':1056
- 'localhost':1058
- 'localhost':1052
- 'localhost':1054
- 'localhost':1060
- 'localhost':1066
- 'localhost':1068
- 'localhost':1062
- 'localhost':1064
- 'localhost':1038
- 'localhost':1040
- 'localhost':1035
- 'pd###.egloos.com':80
- 'localhost':1042
- 'localhost':1048
- 'localhost':1050
- 'localhost':1044
- 'localhost':1046
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
