Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\hfgdrqyo.exe'
- '<SYSTEM32>\qtmtflgu.exe'
- '<SYSTEM32>\ypilsezg.exe'
- '<SYSTEM32>\ckjjzbew.exe'
- '<SYSTEM32>\vxfyosxr.exe'
- '<SYSTEM32>\zqrhllzn.exe'
- '<SYSTEM32>\rnyvrftu.exe'
- '<SYSTEM32>\ykizqyvc.exe'
- '<SYSTEM32>\anzhwhdk.exe'
- '<SYSTEM32>\rwsidghr.exe'
- '<SYSTEM32>\wgtkxskb.exe'
- '<SYSTEM32>\dqzcjqsm.exe'
- '<SYSTEM32>\epwbdifi.exe'
- '<SYSTEM32>\warwkgxc.exe'
- '<SYSTEM32>\tnrpcnuc.exe'
- '<SYSTEM32>\twycappr.exe'
- '<SYSTEM32>\ygrxryxr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\qtmtflgu.exe
- <SYSTEM32>\rnyvrftu.exe
- <SYSTEM32>\hfgdrqyo.exe
- <SYSTEM32>\ypilsezg.exe
- <SYSTEM32>\ckjjzbew.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\_filelst.cfg
- <SYSTEM32>\zqrhllzn.exe
- <SYSTEM32>\ykizqyvc.exe
- <SYSTEM32>\vxfyosxr.exe
- <SYSTEM32>\rwsidghr.exe
- <SYSTEM32>\wgtkxskb.exe
- <SYSTEM32>\epwbdifi.exe
- <SYSTEM32>\dqzcjqsm.exe
- <SYSTEM32>\tnrpcnuc.exe
- <SYSTEM32>\anzhwhdk.exe
- <SYSTEM32>\warwkgxc.exe
- <SYSTEM32>\twycappr.exe
- <SYSTEM32>\ygrxryxr.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\hfgdrqyo.exe
- <SYSTEM32>\qtmtflgu.exe
- <SYSTEM32>\ypilsezg.exe
- <SYSTEM32>\ckjjzbew.exe
- <SYSTEM32>\vxfyosxr.exe
- <SYSTEM32>\zqrhllzn.exe
- <SYSTEM32>\rnyvrftu.exe
- <SYSTEM32>\ykizqyvc.exe
- <SYSTEM32>\anzhwhdk.exe
- <SYSTEM32>\rwsidghr.exe
- <SYSTEM32>\wgtkxskb.exe
- <SYSTEM32>\dqzcjqsm.exe
- <SYSTEM32>\epwbdifi.exe
- <SYSTEM32>\warwkgxc.exe
- <SYSTEM32>\tnrpcnuc.exe
- <SYSTEM32>\twycappr.exe
- <SYSTEM32>\ygrxryxr.exe
Удаляет следующие файлы:
- %TEMP%\~DFC8C1.tmp
- %TEMP%\~DF4EE8.tmp
- %TEMP%\~DF79BF.tmp
- %TEMP%\~DF35EB.tmp
- %TEMP%\~DFBD4D.tmp
- %TEMP%\~DF1E3F.tmp
- %TEMP%\~DF85D0.tmp
- %TEMP%\~DFAD3.tmp
- %TEMP%\~DFE796.tmp
- %TEMP%\~DF9E30.tmp
- %TEMP%\~DF14DB.tmp
- <SYSTEM32>\Restore\MachineGuid.txt
- %TEMP%\~DF575D.tmp
- %TEMP%\~DFF560.tmp
- %TEMP%\~DF4131.tmp
- %TEMP%\~DFAE9A.tmp
- %TEMP%\~DF5EB3.tmp
- %TEMP%\~DFA700.tmp
- %TEMP%\~DF341F.tmp
- %TEMP%\~DFFD30.tmp
- %TEMP%\~DF5F84.tmp
- %TEMP%\~DFDB46.tmp
- %TEMP%\~DF546B.tmp
- %TEMP%\~DF99B7.tmp
- %TEMP%\~DF1FB3.tmp
- %TEMP%\~DF1492.tmp
- %TEMP%\~DFD33C.tmp
- %TEMP%\~DF8F4D.tmp
- %TEMP%\~DFF455.tmp
- %TEMP%\~DFA187.tmp
- %TEMP%\~DF83FD.tmp
- %TEMP%\~DF5489.tmp
- %TEMP%\~DF41D0.tmp
- %TEMP%\~DFC78B.tmp
Сетевая активность:
Подключается к:
- 'bl##.naver.com':80
TCP:
Запросы HTTP GET:
- bl##.naver.com/PostView.nhn?bl################################################################################################################################################################################################
UDP:
- DNS ASK bl##.naver.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
