Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\winsks_main\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe' "<SYSTEM32>\kavmain.exe" /a "" /d "╨┬╖№╠ьBest" /s "1" /i "%WINDIR%\DeskAlax\TianIco\kumain.ico,0" /l "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\╞Ї╢п\kavmain.lnk"
- '%TEMP%\winsks_main\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe' "<SYSTEM32>\kavmain.exe" /a "" /d "╨┬╖№╠ьBest" /s "1" /i "%WINDIR%\DeskAlax\TianIco\kumain.ico,0" /l "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\kavmain.lnk"
- '%TEMP%\kingsoftkonline\domain.exe' /s
- '<SYSTEM32>\kavmain.exe'
- '%TEMP%\winsks_main\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe' "%PROGRAM_FILES%\Internet Explorer\iexplore.exe" /a "<SYSTEM32>\winsks.html" /d "╨┬╖№╠ьBest" /s "2" /i "%PROGRAM_FILES%\Internet Explorer\iexplore.exe,0" /l "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\╞Ї╢п\winsks.lnk"
- '%TEMP%\winsks_main\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe' "%PROGRAM_FILES%\Internet Explorer\iexplore.exe" /a "<SYSTEM32>\winsks.html" /d "╨┬╖№╠ьBest" /s "2" /i "%PROGRAM_FILES%\Internet Explorer\iexplore.exe,0" /l "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\winsks.lnk"
- '%TEMP%\kingsoftkonline\domain.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im DownDuDu.exe
- '<SYSTEM32>\ping.exe' localhost -n 2.4
- '<SYSTEM32>\cacls.exe' "..\..\winsks_main" /c /t /p Everyone:f
- '<SYSTEM32>\attrib.exe' "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\winsks.lnk" +r +s
- '<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\╞Ї╢п\kavmain.lnk" +r +s
- '<SYSTEM32>\attrib.exe' "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\kavmain.lnk" +r +s
- '<SYSTEM32>\ping.exe' localhost -n 4.8
- '<SYSTEM32>\taskkill.exe' /f /im domain.exe
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').popup('╨┬╖№╠ьг║─·╥╤╓╒╔эб╛├т╖╤╣║┬Єб┐▒╛▓·╞╖бв╕╨╨╗─·╓з│╓╒¤░ц┬╠╔л╚э╝■(╟ы╚╖╚╧▓в═╦│Ў)гб\n \n ▒╛╠с╩╛┤░┐┌╜л╘┌8├ы║є╫╘╢п╣╪▒╒',12,'б╛╫в▓с╣║┬Єб┐╨┼╧в:',64+4096);window.close();"
- '<SYSTEM32>\cacls.exe' "%TEMP%\winsks_main" /c /t /p Everyone:f
- '<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("""%APPDATA%\SecMain\sec.bat"" h",0)(window.close)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\SecMain\sec.bat" h"
- '<SYSTEM32>\attrib.exe' "%HOMEPATH%\б╕┐к╩╝б╣▓╦╡е\│╠╨Є\╞Ї╢п\winsks.lnk" +r +s
- '<SYSTEM32>\attrib.exe' "%WINDIR%\DeskAlax" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%APPDATA%\SecMain" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%APPDATA%\KuTiansoft" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "..\..\winsks_main" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%TEMP%\winsks_main" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%APPDATA%\winsks_data" +s +h +r +a
- '<SYSTEM32>\cacls.exe' "%APPDATA%\winsks_data" /c /t /p Everyone:f
- '<SYSTEM32>\xcopy.exe' /c /e /h /k /r /s /x /y "work_data\Invisible\Driver_Data\AppData" "%APPDATA%\"
- '<SYSTEM32>\xcopy.exe' /c /e /h /k /r /s /x /y "work_data\ForAlax\DeskAlax" "%WINDIR%\DeskAlax\"
- '<SYSTEM32>\cacls.exe' "..\..\winsks_main" /d everyone
- '<SYSTEM32>\cacls.exe' "%TEMP%\winsks_main" /d everyone
- '<SYSTEM32>\cacls.exe' "%APPDATA%\winsks_data" /d everyone
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_sec.html
- %TEMP%\aut11.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_seb.html
- %WINDIR%\DeskAlax\TianIco\kumain.ico
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_sed.html
- %TEMP%\aut12.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\KuData\Main\Reserch.pfc
- %TEMP%\autE.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\KuData\kavmain.exe
- %TEMP%\aut10.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_sea.html
- %TEMP%\autF.tmp
- %TEMP%\kudown.pfc
- %TEMP%\kingsoftkonline\domain.exe.tmp
- %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\kavmain.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\updata[1]
- %APPDATA%\SecMain\hint.pfc
- %APPDATA%\SecMain\sec.bat
- <SYSTEM32>\winsks.html
- %APPDATA%\SecMain\kudown.pfc
- <SYSTEM32>\kavmain.exe
- %HOMEPATH%\ᬬк¦-б¦-T¦е\¦¦¦Є\¦Ї¦п\kavmain.lnk
- %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\winsks.lnk
- %HOMEPATH%\ᬬк¦-б¦-T¦е\¦¦¦Є\¦Ї¦п\winsks.lnk
- %TEMP%\autD.tmp
- %TEMP%\aut5.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\ForAlax\DeskAlax\TianIco\kumain.ico
- %TEMP%\aut4.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\ForAlax\IEAlax\IElnk\KuMain\kavmain.lnk
- %TEMP%\aut6.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\ForAlax\IEAlax\IElnk\Biger\winsks.lnk
- %TEMP%\aut2.tmp
- %TEMP%\winsks_main\winsks_ok\domain.bat
- %TEMP%\aut1.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe
- %TEMP%\aut3.tmp
- %TEMP%\winsks_main\winsks_ok\winsks.html
- %TEMP%\autB.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_sec.exe
- %TEMP%\autA.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\Main\SekReserch.pfc
- %TEMP%\autC.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_sed.exe
- %TEMP%\aut8.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\PorTable\variety.pfc
- %TEMP%\aut7.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_seb.exe
- %TEMP%\aut9.tmp
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_sea.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\kavmain.lnk
- %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\winsks.lnk
Удаляет следующие файлы:
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_seb.exe
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_sea.exe
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_sed.exe
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\kavmain_sec.exe
- %TEMP%\winsks_main\winsks_ok\work_data\PorTable\variety.pfc
- %TEMP%\winsks_main\winsks_ok\work_data\ForAlax\DeskAlax\TianIco\kumain.ico
- %TEMP%\winsks_main\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe
- %TEMP%\winsks_main\winsks_ok\work_data\ForAlax\IEAlax\IElnk\KuMain\kavmain.lnk
- %TEMP%\winsks_main\winsks_ok\work_data\ForAlax\IEAlax\IElnk\Biger\winsks.lnk
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_sed.html
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_sec.html
- %TEMP%\kudown.pfc
- %TEMP%\kingsoftkonline\domain.exe
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_seb.html
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\KuData\kavmain.exe
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\AppData\Main\SekReserch.pfc
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\SebData\winsks_sea.html
- %TEMP%\winsks_main\winsks_ok\work_data\UpLoad\KuData\Main\Reserch.pfc
- %TEMP%\winsks_main\winsks_ok\winsks.html
- %TEMP%\aut7.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut9.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut10.tmp
- %TEMP%\autF.tmp
- %TEMP%\aut12.tmp
- %TEMP%\aut11.tmp
- %TEMP%\autE.tmp
- %TEMP%\autB.tmp
- %TEMP%\autA.tmp
- %TEMP%\autD.tmp
- %TEMP%\autC.tmp
Перемещает следующие файлы:
- %TEMP%\kingsoftkonline\domain.exe.tmp в %TEMP%\kingsoftkonline\domain.exe
- %TEMP%\winsks_main\winsks_ok\work_data\PorTable\variety.pfc в %TEMP%\winsks_main\winsks_ok\work_data\PorTable\variety.pfc
Сетевая активность:
Подключается к:
- 'localhost':1040
- '18#.io':80
- 'bo.###a.net:8080':80
- 'cd###.sek123.com':80
TCP:
Запросы HTTP GET:
- 18#.io/updata
- cd###.sek123.com/kutian/updata/domain.exe
- bo.###a.net:8080/pagetracer2/duba/__utm.gif?01#########################################################################################################
UDP:
- DNS ASK 18#.io
- DNS ASK cd###.sek123.com
- DNS ASK bo.###a.net:8080
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
