Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = '%APPDATA%\Svchost.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = '%APPDATA%\Svchost.bat'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Svchost.bat
Запускает на исполнение:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ibionat_.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\fwmeeaom.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\6ca7ydbi.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\fjumtt7c.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\vpkndf-w.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\rmnp__gh.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\i-7ovjuh.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\j4fsmuzl.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\yjmpp2x3.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\kea2l-rt.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\iutxgt9j.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\dqu25u9s.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\fmbd5eji.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\oh8fzhuk.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ihxtns0p.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\bjwa_ibj.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\armjp0d0.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\wzp6ulwe.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\n1mhwabb.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\d79gr3mo.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\cp1hwznt.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ouyle-vq.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\vc5s62jg.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\6ca7ydbi.cmdline
- %TEMP%\6ca7ydbi.out
- %TEMP%\vpkndf-w.out
- %TEMP%\6ca7ydbi.0.vb
- %TEMP%\ibionat_.0.vb
- %TEMP%\fwmeeaom.0.vb
- %TEMP%\fwmeeaom.cmdline
- %TEMP%\ibionat_.cmdline
- %TEMP%\ibionat_.out
- %TEMP%\vpkndf-w.cmdline
- %TEMP%\dqu25u9s.0.vb
- %TEMP%\dqu25u9s.cmdline
- %TEMP%\d79gr3mo.cmdline
- %TEMP%\d79gr3mo.out
- %TEMP%\dqu25u9s.out
- %TEMP%\fjumtt7c.out
- %TEMP%\vpkndf-w.0.vb
- %TEMP%\fjumtt7c.0.vb
- %TEMP%\fjumtt7c.cmdline
- %TEMP%\yjmpp2x3.out
- %TEMP%\i-7ovjuh.0.vb
- %TEMP%\yjmpp2x3.0.vb
- %TEMP%\yjmpp2x3.cmdline
- %TEMP%\i-7ovjuh.cmdline
- %TEMP%\j4fsmuzl.cmdline
- %TEMP%\j4fsmuzl.out
- %TEMP%\i-7ovjuh.out
- %TEMP%\j4fsmuzl.0.vb
- %TEMP%\iutxgt9j.out
- %TEMP%\rmnp__gh.cmdline
- %TEMP%\rmnp__gh.out
- %TEMP%\fwmeeaom.out
- %TEMP%\rmnp__gh.0.vb
- %TEMP%\kea2l-rt.0.vb
- %TEMP%\iutxgt9j.0.vb
- %TEMP%\iutxgt9j.cmdline
- %TEMP%\kea2l-rt.cmdline
- %TEMP%\kea2l-rt.out
- %TEMP%\armjp0d0.out
- %TEMP%\ihxtns0p.0.vb
- %TEMP%\armjp0d0.0.vb
- %TEMP%\armjp0d0.cmdline
- %TEMP%\ihxtns0p.cmdline
- %TEMP%\fmbd5eji.cmdline
- %TEMP%\fmbd5eji.out
- %TEMP%\ihxtns0p.out
- %TEMP%\fmbd5eji.0.vb
- %TEMP%\bjwa_ibj.out
- %TEMP%\aut2.tmp
- %TEMP%\$lokalsys§temp\keygeninf.exe
- %TEMP%\aut1.tmp
- %TEMP%\$lokalsys§temp\binder.cfg
- %TEMP%\aut3.tmp
- %TEMP%\bjwa_ibj.0.vb
- %TEMP%\bjwa_ibj.cmdline
- %TEMP%\$lokalsys§temp\CloneDVDKeyen.exe
- %APPDATA%\Svchost.bat
- %TEMP%\cp1hwznt.0.vb
- %TEMP%\cp1hwznt.cmdline
- %TEMP%\vc5s62jg.cmdline
- %TEMP%\vc5s62jg.out
- %TEMP%\cp1hwznt.out
- %TEMP%\n1mhwabb.out
- %TEMP%\d79gr3mo.0.vb
- %TEMP%\n1mhwabb.0.vb
- %TEMP%\n1mhwabb.cmdline
- %TEMP%\vc5s62jg.0.vb
- %TEMP%\oh8fzhuk.out
- %TEMP%\wzp6ulwe.0.vb
- %TEMP%\oh8fzhuk.0.vb
- %TEMP%\oh8fzhuk.cmdline
- %TEMP%\wzp6ulwe.cmdline
- %TEMP%\ouyle-vq.cmdline
- %TEMP%\ouyle-vq.out
- %TEMP%\wzp6ulwe.out
- %TEMP%\ouyle-vq.0.vb
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Svchost.bat
Удаляет следующие файлы:
- %TEMP%\6ca7ydbi.0.vb
- %TEMP%\6ca7ydbi.out
- %TEMP%\vpkndf-w.0.vb
- %TEMP%\6ca7ydbi.cmdline
- %TEMP%\ibionat_.cmdline
- %TEMP%\fwmeeaom.cmdline
- %TEMP%\ibionat_.out
- %TEMP%\ibionat_.0.vb
- %TEMP%\vpkndf-w.out
- %TEMP%\dqu25u9s.0.vb
- %TEMP%\dqu25u9s.cmdline
- %TEMP%\d79gr3mo.out
- %TEMP%\dqu25u9s.out
- %TEMP%\fjumtt7c.0.vb
- %TEMP%\vpkndf-w.cmdline
- %TEMP%\fjumtt7c.cmdline
- %TEMP%\fjumtt7c.out
- %TEMP%\yjmpp2x3.cmdline
- %TEMP%\yjmpp2x3.out
- %TEMP%\iutxgt9j.cmdline
- %TEMP%\iutxgt9j.0.vb
- %TEMP%\i-7ovjuh.out
- %TEMP%\i-7ovjuh.0.vb
- %TEMP%\yjmpp2x3.0.vb
- %TEMP%\i-7ovjuh.cmdline
- %TEMP%\iutxgt9j.out
- %TEMP%\rmnp__gh.out
- %TEMP%\rmnp__gh.0.vb
- %TEMP%\fwmeeaom.0.vb
- %TEMP%\fwmeeaom.out
- %TEMP%\kea2l-rt.out
- %TEMP%\kea2l-rt.0.vb
- %TEMP%\rmnp__gh.cmdline
- %TEMP%\kea2l-rt.cmdline
- %TEMP%\d79gr3mo.cmdline
- %TEMP%\ihxtns0p.out
- %TEMP%\fmbd5eji.0.vb
- %TEMP%\ihxtns0p.cmdline
- %TEMP%\ihxtns0p.0.vb
- %TEMP%\oh8fzhuk.out
- %TEMP%\oh8fzhuk.cmdline
- %TEMP%\fmbd5eji.cmdline
- %TEMP%\fmbd5eji.out
- %TEMP%\armjp0d0.cmdline
- %TEMP%\aut3.tmp
- %TEMP%\bjwa_ibj.out
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\armjp0d0.out
- %TEMP%\armjp0d0.0.vb
- %TEMP%\bjwa_ibj.0.vb
- %TEMP%\bjwa_ibj.cmdline
- %TEMP%\cp1hwznt.0.vb
- %TEMP%\cp1hwznt.cmdline
- %TEMP%\vc5s62jg.cmdline
- %TEMP%\cp1hwznt.out
- %TEMP%\n1mhwabb.0.vb
- %TEMP%\d79gr3mo.0.vb
- %TEMP%\n1mhwabb.cmdline
- %TEMP%\n1mhwabb.out
- %TEMP%\vc5s62jg.0.vb
- %TEMP%\wzp6ulwe.cmdline
- %TEMP%\wzp6ulwe.0.vb
- %TEMP%\oh8fzhuk.0.vb
- %TEMP%\wzp6ulwe.out
- %TEMP%\ouyle-vq.out
- %TEMP%\vc5s62jg.out
- %TEMP%\ouyle-vq.0.vb
- %TEMP%\ouyle-vq.cmdline
Сетевая активность:
Подключается к:
- 'wa####st.zapto.org':7777
UDP:
- DNS ASK wa####st.zapto.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
