Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- C:\waffppc.exe
- C:\mfwepfx.exe
- C:\pqoqvtp.exe
- C:\nbtpamw.exe
- C:\bwualsl.exe
- C:\seumata.exe
- %HOMEPATH%\yytAwDaP.exe
- %HOMEPATH%\VBdAtA.exe
- C:\muel.exe
- C:\bwualsl.exe (загружен из сети Интернет)
- C:\mfwepfx.exe (загружен из сети Интернет)
- C:\nbtpamw.exe (загружен из сети Интернет)
- C:\muel.exe (загружен из сети Интернет)
- C:\seumata.exe (загружен из сети Интернет)
- C:\pqoqvtp.exe (загружен из сети Интернет)
- C:\waffppc.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\dumprep.exe 2496 -dm 7 7 %TEMP%\WER4fb5.dir00\svchost.exe.hdmp 16325836412027364
- <SYSTEM32>\rundll32.exe <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\svchost.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\dumprep.exe 2496 -dm 7 7 %TEMP%\WER4fb5.dir00\svchost.exe.mdmp 16325836412027344
Завершает или пытается завершить
следующие пользовательские процессы:
- gw.exe
- MCAGENT.EXE
- mpftray.exe
- GUARD.EXE
- fsav32.exe
- gc.exe
- ge.exe
- NAVAPW32.EXE
- zapro.exe
- zlclient.exe
- ZONEALARM.EXE
- smc.exe
- nod.exe
- nod32.exe
- outpost.exe
- AVP.EXE
- AVP32.EXE
- AVPCC.EXE
- AVGCTRL.EXE
- ash.exe
- avgcc.exe
- AVGCC32.EXE
- AVPM.EXE
- ClamWin.exe
- drweb.exe
- fsav.exe
- ccapp.exe
- AVSYNMGR.EXE
- bdagent.exe
- bdss.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\nbtpamw.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\islre[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\dnxkllz[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hrobc[1].php
- C:\pqoqvtp.exe
- C:\bwualsl.exe
- %TEMP%\WER4fb5.dir00\appcompat.txt
- %TEMP%\WER4fb5.dir00\manifest.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bkxlyllzm[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\dnkkycc[1]
- C:\mfwepfx.exe
- %TEMP%\WER4fb5.dir00\svchost.exe.hdmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mwwwjwxxt[1].php
- C:\-1998166001
- %TEMP%\WER4fb5.dir00\svchost.exe.mdmp
- %HOMEPATH%\VBdAtA.exe
- %HOMEPATH%\yytAwDaP.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vbclmznn[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\nddaa[1].php
- C:\waffppc.exe
- C:\muel.exe
- C:\seumata.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\qjgguh[1].php
Удаляет следующие файлы:
- %HOMEPATH%\yytAwDaP.exe
Сетевая активность:
Подключается к:
- 'aa###djkgn.com':80
TCP:
Запросы HTTP GET:
- aa###djkgn.com/progs/kyvsfgghh/islre.php
- aa###djkgn.com/progs/kyvsfgghh/dnxkllz.php
- aa###djkgn.com/progs/kyvsfgghh/bkxlyllzm.php?ad#################################################
- aa###djkgn.com/progs/kyvsfgghh/dnkkycc
- aa###djkgn.com/progs/kyvsfgghh/hrobc.php
- aa###djkgn.com/progs/kyvsfgghh/vbclmznn.php
- aa###djkgn.com/progs/kyvsfgghh/mwwwjwxxt.php?ad########
- aa###djkgn.com/progs/kyvsfgghh/nddaa.php
- aa###djkgn.com/progs/kyvsfgghh/qjgguh.php
UDP:
- DNS ASK aa###djkgn.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
