Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\lbsxfnqo.exe'
- '<SYSTEM32>\hupqxrsq.exe'
- '<SYSTEM32>\weerxave.exe'
- '<SYSTEM32>\xcwkvrvd.exe'
- '<SYSTEM32>\sezuwkjb.exe'
- '<SYSTEM32>\rcmsxszp.exe'
- '<SYSTEM32>\reojskob.exe'
- '<SYSTEM32>\vikqulww.exe'
- '<SYSTEM32>\rnruhajy.exe'
- '<SYSTEM32>\jlycaaip.exe'
- '<SYSTEM32>\uwkwwoce.exe'
- '<SYSTEM32>\vvmvoult.exe'
- '<SYSTEM32>\ccxooppi.exe'
- '<SYSTEM32>\waqjwmqn.exe'
- '<SYSTEM32>\ilajhxpg.exe'
- '<SYSTEM32>\jmaojgpx.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\xcwkvrvd.exe
- <SYSTEM32>\lbsxfnqo.exe
- <SYSTEM32>\weerxave.exe
- <SYSTEM32>\ccxooppi.exe
- <SYSTEM32>\waqjwmqn.exe
- <SYSTEM32>\sezuwkjb.exe
- <SYSTEM32>\rcmsxszp.exe
- <SYSTEM32>\vikqulww.exe
- <SYSTEM32>\hupqxrsq.exe
- <SYSTEM32>\reojskob.exe
- <SYSTEM32>\uwkwwoce.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- <SYSTEM32>\MSWINSCK.ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- <SYSTEM32>\ilajhxpg.exe
- <SYSTEM32>\jmaojgpx.exe
- <SYSTEM32>\jlycaaip.exe
- <SYSTEM32>\vvmvoult.exe
- <SYSTEM32>\rnruhajy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\lbsxfnqo.exe
- <SYSTEM32>\hupqxrsq.exe
- <SYSTEM32>\weerxave.exe
- <SYSTEM32>\xcwkvrvd.exe
- <SYSTEM32>\sezuwkjb.exe
- <SYSTEM32>\rcmsxszp.exe
- <SYSTEM32>\reojskob.exe
- <SYSTEM32>\vikqulww.exe
- <SYSTEM32>\rnruhajy.exe
- <SYSTEM32>\jlycaaip.exe
- <SYSTEM32>\uwkwwoce.exe
- <SYSTEM32>\vvmvoult.exe
- <SYSTEM32>\ccxooppi.exe
- <SYSTEM32>\waqjwmqn.exe
- <SYSTEM32>\ilajhxpg.exe
- <SYSTEM32>\jmaojgpx.exe
Удаляет следующие файлы:
- %TEMP%\~DF6635.tmp
- %TEMP%\~DF6428.tmp
- %TEMP%\~DFDF21.tmp
- %TEMP%\~DFDF73.tmp
- %TEMP%\~DF7BF9.tmp
- %TEMP%\~DF5566.tmp
- %TEMP%\~DFF76C.tmp
- %TEMP%\~DFCE01.tmp
- %TEMP%\~DF4DE7.tmp
- %TEMP%\~DFB009.tmp
- %TEMP%\~DF40CF.tmp
- %TEMP%\~DF28C4.tmp
- %TEMP%\~DFAD33.tmp
- %TEMP%\~DFC71E.tmp
- %TEMP%\~DF5581.tmp
- %TEMP%\~DF401B.tmp
- %TEMP%\~DFC7C0.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DF7B8C.tmp
- %TEMP%\~DF8EDA.tmp
- %TEMP%\~DF871.tmp
- %TEMP%\~DF1E8.tmp
- %TEMP%\~DF9412.tmp
- %TEMP%\~DF20CA.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- %TEMP%\~DFC85.tmp
- %TEMP%\~DF6D32.tmp
- %TEMP%\~DF6DB7.tmp
- %TEMP%\~DFE5E8.tmp
- %TEMP%\~DFE686.tmp
- %TEMP%\~DF860C.tmp
- %TEMP%\~DF76EF.tmp
- %TEMP%\~DFFEB6.tmp
- %TEMP%\~DFF26C.tmp
Сетевая активность:
Подключается к:
- 'localhost':1057
- 'localhost':1059
- 'localhost':1053
- 'localhost':1055
- 'localhost':1061
- 'localhost':1067
- 'localhost':1069
- 'localhost':1063
- 'localhost':1065
- 'localhost':1039
- 'localhost':1041
- 'localhost':1036
- 'pd###.egloos.com':80
- 'localhost':1043
- 'localhost':1049
- 'localhost':1051
- 'localhost':1045
- 'localhost':1047
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
