Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\qwknffss.exe' /pid=3928
- '<SYSTEM32>\qwknffss.exe' /pid=3976
- '<SYSTEM32>\qwknffss.exe' /pid=3988
- '<SYSTEM32>\euzjjjcy.exe' -Embedding
- '<SYSTEM32>\urwwutwv.exe' /pid=3524
- '<SYSTEM32>\jtfxjtzn.exe' /pid=3416
- '<SYSTEM32>\jtfxjtzn.exe' /pid=3792
- '<SYSTEM32>\qwknffss.exe' /pid=3780
- '<SYSTEM32>\ulcobkwp.exe' /pid=3008
- '<SYSTEM32>\caphpzfb.exe' /pid=3080
- '<SYSTEM32>\iemnvpoh.exe'
- '<SYSTEM32>\urwwutwv.exe' /pid=3028
- '<SYSTEM32>\caphpzfb.exe' /pid=3908
- '<SYSTEM32>\urwwutwv.exe' /pid=3888
- '<SYSTEM32>\urwwutwv.exe' /pid=2520
- '<SYSTEM32>\cwpzilhv.exe'
- '<SYSTEM32>\caphpzfb.exe' /pid=3356
- '<SYSTEM32>\urwwutwv.exe' /pid=3004
- '<SYSTEM32>\euzjjjcy.exe'
- '<SYSTEM32>\caphpzfb.exe' /pid=3184
- '<SYSTEM32>\ulcobkwp.exe'
- '<SYSTEM32>\caphpzfb.exe'
- '<SYSTEM32>\urwwutwv.exe'
- '<SYSTEM32>\qwknffss.exe'
- '<SYSTEM32>\jtfxjtzn.exe'
- '<SYSTEM32>\caphpzfb.exe' /pid=3284
- '<SYSTEM32>\urwwutwv.exe' /pid=3332
- '<SYSTEM32>\urwwutwv.exe' /pid=3404
- '<SYSTEM32>\jtfxjtzn.exe' /pid=3328
- '<SYSTEM32>\caphpzfb.exe' /pid=3268
- '<SYSTEM32>\caphpzfb.exe' /pid=3124
- '<SYSTEM32>\jtfxjtzn.exe' /pid=3300
- '<SYSTEM32>\urwwutwv.exe' -Embedding
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ulcobkwp.exe
- <SYSTEM32>\euzjjjcy.exe
- <SYSTEM32>\cwpzilhv.exe
- %TEMP%\ie9943.tmp
- <SYSTEM32>\iemnvpoh.exe
- <SYSTEM32>\qwknffss.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\urwwutwv.exe
- <SYSTEM32>\jtfxjtzn.exe
- <SYSTEM32>\caphpzfb.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ulcobkwp.exe
- <SYSTEM32>\euzjjjcy.exe
- <SYSTEM32>\iemnvpoh.exe
- <SYSTEM32>\cwpzilhv.exe
- <SYSTEM32>\caphpzfb.exe
- <SYSTEM32>\urwwutwv.exe
- <SYSTEM32>\qwknffss.exe
- <SYSTEM32>\jtfxjtzn.exe
Удаляет следующие файлы:
- %TEMP%\~DF9C2F.tmp
- %TEMP%\~DF919E.tmp
- %TEMP%\~DFA242.tmp
- %TEMP%\~DF9A5B.tmp
- %TEMP%\~DFB241.tmp
- %TEMP%\~DF7261.tmp
- %TEMP%\~DF35F2.tmp
- %TEMP%\~DF88C5.tmp
- %TEMP%\~DF65AD.tmp
- %TEMP%\~DF9EEE.tmp
- %TEMP%\~DFEF18.tmp
- %TEMP%\~DFEC9F.tmp
- %TEMP%\~DF3CC9.tmp
- %TEMP%\~DF3616.tmp
- %TEMP%\~DFEC32.tmp
- %TEMP%\~DFE6DA.tmp
- %TEMP%\~DF9B81.tmp
- %TEMP%\~DFE84E.tmp
- %TEMP%\~DFE954.tmp
- %TEMP%\~DF5735.tmp
- %TEMP%\~DF74F4.tmp
- %TEMP%\~DF75DA.tmp
- %TEMP%\~DFA7EF.tmp
- %TEMP%\~DF7402.tmp
- %TEMP%\~DF9831.tmp
- %TEMP%\~DF539D.tmp
- %TEMP%\~DF8068.tmp
- %TEMP%\~DF7220.tmp
- %TEMP%\~DF6C7D.tmp
- %TEMP%\~DFC2E9.tmp
- %TEMP%\~DF29F4.tmp
- %TEMP%\~DF15EA.tmp
- %TEMP%\~DF15F5.tmp
- %TEMP%\~DF31AD.tmp
- %TEMP%\~DFA7.tmp
- %TEMP%\~DFCABA.tmp
- %TEMP%\~DFCC54.tmp
- %TEMP%\~DFF167.tmp
- %TEMP%\~DFCEE3.tmp
- %TEMP%\~DF3100.tmp
- %TEMP%\~DFB3BF.tmp
- %TEMP%\~DF8537.tmp
- %TEMP%\~DFBB5A.tmp
- %TEMP%\~DFC679.tmp
- %TEMP%\~DF9EB9.tmp
- %TEMP%\~DF5C56.tmp
- %TEMP%\~DF6843.tmp
- %TEMP%\~DF8ACA.tmp
- %TEMP%\~DF672D.tmp
- %TEMP%\~DFBFDB.tmp
- %TEMP%\~DF1FEE.tmp
- %TEMP%\~DF22A5.tmp
- %TEMP%\~DF9765.tmp
- %TEMP%\~DF51F0.tmp
- %TEMP%\~DF13B2.tmp
- %TEMP%\~DFD128.tmp
- %TEMP%\~DFE57F.tmp
- %TEMP%\~DFF347.tmp
- %TEMP%\~DF1BBC.tmp
- %TEMP%\~DF5981.tmp
- %TEMP%\~DF76C5.tmp
- %TEMP%\~DF8382.tmp
- %TEMP%\~DF9F4E.tmp
- %TEMP%\~DF8ED2.tmp
- %TEMP%\~DF9FEE.tmp
- %TEMP%\~DF40A8.tmp
- %TEMP%\~DF3B2A.tmp
- %TEMP%\~DF7364.tmp
- %TEMP%\~DF4C27.tmp
- %TEMP%\~DF2F1.tmp
- %TEMP%\~DF1115.tmp
- %TEMP%\~DFF46.tmp
- %TEMP%\~DF4E6F.tmp
- %TEMP%\~DF3B0F.tmp
- %TEMP%\~DFBBE.tmp
- %TEMP%\~DF687.tmp
- %TEMP%\~DFFFE1.tmp
- %TEMP%\~DFAB6.tmp
- %TEMP%\~DF980.tmp
- %TEMP%\~DF16ED.tmp
- %TEMP%\~DF2870.tmp
- %TEMP%\~DF41E7.tmp
- %TEMP%\~DF3FF6.tmp
- %TEMP%\~DF6EB.tmp
- %TEMP%\~DFDE35.tmp
- %TEMP%\~DFAA67.tmp
- %TEMP%\~DF759.tmp
- %TEMP%\~DFE57A.tmp
- %TEMP%\~DF45A0.tmp
- %TEMP%\~DFCDBD.tmp
- %TEMP%\~DFB8F8.tmp
- %TEMP%\~DF5445.tmp
- %TEMP%\~DF51EB.tmp
- %TEMP%\~DFAAF1.tmp
- %TEMP%\~DF76C3.tmp
- %TEMP%\~DF6542.tmp
- %TEMP%\~DF8F84.tmp
- %TEMP%\~DF806A.tmp
- %TEMP%\~DFB749.tmp
- %TEMP%\~DF4D65.tmp
- %TEMP%\~DF2D5C.tmp
- %TEMP%\~DF7A7A.tmp
- %TEMP%\~DF65A7.tmp
- %TEMP%\~DF12FB.tmp
- %TEMP%\~DFCC14.tmp
- %TEMP%\~DFB7E8.tmp
- %TEMP%\~DFF587.tmp
- %TEMP%\~DFDFB4.tmp
- %TEMP%\~DF93F1.tmp
- %TEMP%\~DF3563.tmp
- %TEMP%\~DF1B14.tmp
- %TEMP%\~DF8FB3.tmp
- %TEMP%\~DF5082.tmp
- %TEMP%\~DF297.tmp
- %TEMP%\~DFC569.tmp
- %TEMP%\~DFAAB5.tmp
- %TEMP%\~DFEDE1.tmp
- %TEMP%\~DFDDE5.tmp
- %TEMP%\~DF5ACC.tmp
- %TEMP%\~DFB7CE.tmp
- %TEMP%\~DFC452.tmp
- %TEMP%\~DFD19F.tmp
- %TEMP%\~DFF063.tmp
- %TEMP%\~DFB73F.tmp
- %TEMP%\~DF72B4.tmp
- %TEMP%\~DF70BF.tmp
- %TEMP%\~DF89DE.tmp
- %TEMP%\~DF83BD.tmp
- %TEMP%\~DFCB85.tmp
- %TEMP%\~DF2D09.tmp
- %TEMP%\~DF46B7.tmp
- %TEMP%\~DF717B.tmp
- %TEMP%\~DF44B9.tmp
- %TEMP%\~DF26FA.tmp
- %TEMP%\~DFFDA6.tmp
- %TEMP%\~DFEF53.tmp
- %TEMP%\~DF260C.tmp
- %TEMP%\~DF1A84.tmp
- %TEMP%\~DF2A83.tmp
- %TEMP%\~DFEBD4.tmp
- %TEMP%\~DFC843.tmp
- %TEMP%\~DFF46E.tmp
- %TEMP%\~DFFCDE.tmp
- %TEMP%\~DFC2A3.tmp
- %TEMP%\~DF8998.tmp
- %TEMP%\~DF8F9F.tmp
- %TEMP%\~DFC60D.tmp
- %TEMP%\~DF720A.tmp
- %TEMP%\~DF263B.tmp
- %TEMP%\~DF8980.tmp
- %TEMP%\~DF53D4.tmp
- %TEMP%\~DF13EB.tmp
- %TEMP%\~DFB4EF.tmp
- %TEMP%\~DF85EE.tmp
- %TEMP%\~DF405A.tmp
- %TEMP%\~DF1609.tmp
- %TEMP%\~DF71E7.tmp
- %TEMP%\~DF2B9A.tmp
Сетевая активность:
Подключается к:
- 'dr###.nmain.net':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- dr###.nmain.net/tc/attachment/1009560701.ocx
UDP:
- DNS ASK dr###.nmain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
