Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im 360Tray.exe
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "PolicyScope" /t REG_DWORD /d 0
- '<SYSTEM32>\taskkill.exe' /f /im 360Safe.exe
- '<SYSTEM32>\find.exe' /i "360Tray.exe"
- '<SYSTEM32>\mshta.exe' "javascript:new ActiveXObject('WScript.Shell').popup('╝ь▓т╡╜360┴ў├е╬└╩┐бв─·▒╪╨ыб╛╣╪▒╒╗Є╨╢╘╪б┐360╔▒╢╛╚э╝■▓в╓╪╞Ї╝╞╦у╗·-╖╜┐╔╒¤│г╩╣╙├гб\n \n ▒╛╚э╝■╜л╘┌8├ы║є╫╘╗┘═╦│Ў',12,'б╛360б┐┴ў├е╬└╩┐:',16+4096);window.close();"
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "ExecutableTypes" /t REG_MULTI_SZ /d "ADE\0ADP\0BAS\0BAT\0CHM\0CMD\0COM\0CPL\0CRT\0EXE\0HLP\0HTA\0INF\0INS\0ISP\0LNK\0MDB\0MDE\0MSC\0MSI\0MSP\0MST\0OCX\0PCD\0PIF\0REG\0SCR\0SHS\0URL\0VB\0WSC"
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\SystemCertificates\disallowed\Certificates\1E5BB77FCB63F26277F95AAE09B852699327A08A" /f /v "Blob" /t REG_BINARY /d 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
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "AuthenticodeEnabled" /t REG_DWORD /d 1
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "DefaultLevel" /t REG_DWORD /d 262144
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers" /f /v "TransparentEnabled" /t REG_DWORD /d 1
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\attrib.exe' "%WINDIR%\DeskAlax" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%APPDATA%\SecMain" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%APPDATA%\winsks_data" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "..\..\winsks_safe" +s +h +r +a
- '<SYSTEM32>\attrib.exe' "%TEMP%\winsks_safe" +s +h +r +a
- '<SYSTEM32>\cacls.exe' "%APPDATA%\winsks_data" /d everyone
- '<SYSTEM32>\cacls.exe' "%APPDATA%\winsks_data" /c /t /p Everyone:f
- '<SYSTEM32>\cacls.exe' "%TEMP%\winsks_safe" /d everyone
- '<SYSTEM32>\attrib.exe' "%APPDATA%\KuTiansoft" +s +h +r +a
- '<SYSTEM32>\cacls.exe' "..\..\winsks_safe" /d everyone
Завершает или пытается завершить
следующие пользовательские процессы:
- 360tray.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\AppData\Main\SekReserch.pfc
- %TEMP%\autF.tmp
- %TEMP%\aut10.tmp
- %TEMP%\aut11.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\KuData\kavmain.exe
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\AppData\kavmain_sed.exe
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\AppData\kavmain_seb.exe
- %TEMP%\autC.tmp
- %TEMP%\autD.tmp
- %TEMP%\autE.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\AppData\kavmain_sec.exe
- %TEMP%\aut15.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\SebData\winsks_sec.html
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\SebData\winsks_sed.html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\turst[1]
- %TEMP%\winsks_safe\winsks_ok\work_data\PorTable\360safe.sek
- %TEMP%\aut14.tmp
- %TEMP%\aut12.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\KuData\Main\Reserch.pfc
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\SebData\winsks_sea.html
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\SebData\winsks_seb.html
- %TEMP%\aut13.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\usek.key
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\Asekbit\DoBest\ShortCut.exe
- %TEMP%\winsks_safe\winsks_ok\akfc_data\GGSetup_52\GGSafe_cjzs(52).exe
- %TEMP%\winsks_safe\winsks_ok\domain.bat
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
- %TEMP%\winsks_safe\winsks_ok\winsks.html
- %TEMP%\autA.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\PorTable\variety.pfc
- %TEMP%\winsks_safe\winsks_ok\work_data\TrustNet\Trust.pfc
- %TEMP%\winsks_safe\winsks_ok\work_data\UpLoad\AppData\kavmain_sea.exe
- %TEMP%\autB.tmp
- %TEMP%\aut9.tmp
- %TEMP%\aut7.tmp
- %TEMP%\winsks_safe\winsks_ok\work_data\ForAlax\DeskAlax\TianIco\kumain.ico
- %TEMP%\winsks_safe\winsks_ok\work_data\ForAlax\IEAlax\IElnk\Biger\winsks.lnk
- %TEMP%\winsks_safe\winsks_ok\work_data\ForAlax\IEAlax\IElnk\KuMain\kavmain.lnk
- %TEMP%\aut8.tmp
Удаляет следующие файлы:
- %TEMP%\autF.tmp
- %TEMP%\aut10.tmp
- %TEMP%\autE.tmp
- %TEMP%\autC.tmp
- %TEMP%\autD.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut13.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut12.tmp
- %TEMP%\autB.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut9.tmp
- %TEMP%\autA.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut7.tmp
Сетевая активность:
Подключается к:
- '18#.io':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- 18#.io/turst
UDP:
- DNS ASK 18#.io
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
