Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\ibbbvqga.exe'
- '<SYSTEM32>\ywzdjtvr.exe'
- '<SYSTEM32>\hziygtow.exe'
- '<SYSTEM32>\llpehcvq.exe'
- '<SYSTEM32>\kushjmna.exe'
- '<SYSTEM32>\zddsufwm.exe'
- '<SYSTEM32>\thekoezs.exe'
- '<SYSTEM32>\wcjyuxsw.exe'
- '<SYSTEM32>\ocaclphl.exe'
- '<SYSTEM32>\vbchovpn.exe'
- '<SYSTEM32>\sxlsufcw.exe'
- '<SYSTEM32>\tsqkesvk.exe'
- '<SYSTEM32>\fnmunpgw.exe'
- '<SYSTEM32>\vvusiokl.exe'
- '<SYSTEM32>\hqgbceii.exe'
- '<SYSTEM32>\mfyfwqkj.exe'
- '<SYSTEM32>\qcwqcyld.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ibbbvqga.exe
- <SYSTEM32>\ywzdjtvr.exe
- <SYSTEM32>\hziygtow.exe
- <SYSTEM32>\llpehcvq.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
- <SYSTEM32>\kushjmna.exe
- <SYSTEM32>\zddsufwm.exe
- <SYSTEM32>\thekoezs.exe
- <SYSTEM32>\wcjyuxsw.exe
- <SYSTEM32>\ocaclphl.exe
- <SYSTEM32>\fnmunpgw.exe
- <SYSTEM32>\vbchovpn.exe
- <SYSTEM32>\tsqkesvk.exe
- <SYSTEM32>\sxlsufcw.exe
- <SYSTEM32>\vvusiokl.exe
- <SYSTEM32>\hqgbceii.exe
- <SYSTEM32>\mfyfwqkj.exe
- <SYSTEM32>\qcwqcyld.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ibbbvqga.exe
- <SYSTEM32>\ywzdjtvr.exe
- <SYSTEM32>\hziygtow.exe
- <SYSTEM32>\llpehcvq.exe
- <SYSTEM32>\kushjmna.exe
- <SYSTEM32>\zddsufwm.exe
- <SYSTEM32>\thekoezs.exe
- <SYSTEM32>\wcjyuxsw.exe
- <SYSTEM32>\ocaclphl.exe
- <SYSTEM32>\vbchovpn.exe
- <SYSTEM32>\sxlsufcw.exe
- <SYSTEM32>\tsqkesvk.exe
- <SYSTEM32>\fnmunpgw.exe
- <SYSTEM32>\vvusiokl.exe
- <SYSTEM32>\hqgbceii.exe
- <SYSTEM32>\mfyfwqkj.exe
- <SYSTEM32>\qcwqcyld.exe
Удаляет следующие файлы:
- %TEMP%\~DF5FDB.tmp
- %TEMP%\~DF6509.tmp
- %TEMP%\~DF3B7.tmp
- %TEMP%\~DF585.tmp
- %TEMP%\~DFD137.tmp
- %TEMP%\~DF7F3B.tmp
- %TEMP%\~DF4EDC.tmp
- %TEMP%\~DFC278.tmp
- %TEMP%\~DFF271.tmp
- %TEMP%\~DF9029.tmp
- %TEMP%\~DFA8EC.tmp
- %TEMP%\~DF2D30.tmp
- %TEMP%\~DFB588.tmp
- %TEMP%\~DF8386.tmp
- %TEMP%\~DF8175.tmp
- %TEMP%\~DF1007.tmp
- %TEMP%\~DF21F4.tmp
- %TEMP%\~DFC4A3.tmp
- %TEMP%\~DFE2A9.tmp
- %TEMP%\~DF6418.tmp
- %TEMP%\~DF29C6.tmp
- %TEMP%\~DF974.tmp
- %TEMP%\~DFBB34.tmp
- %TEMP%\~DF8332.tmp
- %TEMP%\~DF2CE8.tmp
- %TEMP%\~DFABFC.tmp
- %TEMP%\~DFBFAE.tmp
- %TEMP%\~DFB7C9.tmp
- %TEMP%\~DF57E3.tmp
- %TEMP%\~DFFEC7.tmp
- %TEMP%\~DFF408.tmp
- %TEMP%\~DFF011.tmp
- %TEMP%\~DF7264.tmp
- %TEMP%\~DF36B8.tmp
Сетевая активность:
Подключается к:
- 'bl##.naver.com':80
TCP:
Запросы HTTP GET:
- bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
UDP:
- DNS ASK bl##.naver.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
