Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3532
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3640
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3952
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2852
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2928
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3328
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3376
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3216
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3220
- '%TEMP%\1.tmp\PEVZ.EXE' /M /I "smeenk"
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=1732
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2480
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2540
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2764
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2880
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "\??\<SYSTEM32>\csrss.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "\??\<SYSTEM32>\winlogon.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\services.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\smss.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' clist
- '%TEMP%\1.tmp\PEVZ.EXE' PLIST
- '%TEMP%\1.tmp\PEVZ.EXE' -rtd "%HOMEPATH%"
- '%TEMP%\1.tmp\PEVZ.EXE' <Служебный элемент>
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\alg.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' /S /D /c" type tmp.txt "
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\ctfmon.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\lsass.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "%WINDIR%\Explorer.EXE"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\spoolsv.exe"
Запускает на исполнение:
- '<SYSTEM32>\findstr.exe' /pid=3716
- '<SYSTEM32>\findstr.exe' /pid=3792
- '<SYSTEM32>\findstr.exe' /pid=764
- '<SYSTEM32>\findstr.exe' /pid=2812
- '<SYSTEM32>\findstr.exe' /pid=3164
- '<SYSTEM32>\findstr.exe' /S /D /c" type tmp.txt "
- '<SYSTEM32>\findstr.exe' /pid=3304
- '<SYSTEM32>\findstr.exe' /pid=3432
- '<SYSTEM32>\findstr.exe' /pid=3560
- '<SYSTEM32>\findstr.exe' /pid=940
- '<SYSTEM32>\findstr.exe' /pid=2972
- '<SYSTEM32>\findstr.exe' /pid=3104
- '<SYSTEM32>\findstr.exe' <Служебный элемент>
- '<SYSTEM32>\findstr.exe' /M /I "mshta.exe"
- '<SYSTEM32>\findstr.exe' /M /I "zoek"
- '<SYSTEM32>\findstr.exe' /M /I "z-analyse"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\zoek-install.bat" "
- '<SYSTEM32>\findstr.exe' /M /I "zoek.bat"
- '<SYSTEM32>\findstr.exe' -RIV "C:\\WINDOWS\\system32\\svchost.exe C:\\WINDOWS\\system32\\cmd.exe \\PEVZ.exe" ProcessList.txt
- '<SYSTEM32>\findstr.exe' /M /I ".exe"
- '<SYSTEM32>\findstr.exe' /M /I "smeenk"
- '<SYSTEM32>\findstr.exe' /pid=2864
- '<SYSTEM32>\findstr.exe' /M /I ".com"
- '<SYSTEM32>\findstr.exe' /M /I ".pif"
- '<SYSTEM32>\findstr.exe' /M /I ".scr"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\findstr.exe
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\ze.scf
- %TEMP%\1.tmp\zf.scf
- %TEMP%\1.tmp\chk.txt
- %TEMP%\1.tmp\zb.scf
- %TEMP%\1.tmp\zc.scf
- %TEMP%\1.tmp\zd.scf
- %TEMP%\1.tmp\logje.txt
- %TEMP%\1.tmp\test.txt
- %TEMP%\1.tmp\tmp.txt
- %TEMP%\1.tmp\PEVZ.EXE
- %TEMP%\1.tmp\clist.txt
- %TEMP%\1.tmp\ProcessList.txt
- %TEMP%\1.tmp\z2.scf
- %TEMP%\1.tmp\z3.scf
- %TEMP%\1.tmp\z4.scf
- %TEMP%\1.tmp\zoek-install.bat
- %TEMP%\1.tmp\z0.scf
- %TEMP%\1.tmp\z1.scf
- %TEMP%\1.tmp\z8.scf
- %TEMP%\1.tmp\z9.scf
- %TEMP%\1.tmp\za.scf
- %TEMP%\1.tmp\z5.scf
- %TEMP%\1.tmp\z6.scf
- %TEMP%\1.tmp\z7.scf
Удаляет следующие файлы:
- %TEMP%\1.tmp\test.txt
- %TEMP%\1.tmp\tmp.txt
- %TEMP%\1.tmp\clist.txt
- %TEMP%\1.tmp\ProcessList.txt
