Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pwo6' = '%APPDATA%\pwo6\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\pwo6\svchost.exe'
- '%TEMP%\_MEI29682\bin\winlogon.exe' -SOCKSPort 33156 -ControlPort 33157 -DataDirectory "%APPDATA%\pwo6"
- 'C:\7fda73c31c3544a24b11969b4f0f69c2\vs_ultimate.exe' /layout
- '%TEMP%\jdxxiaex.exe'
- '%TEMP%\88615.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_MEI29682\_hashlib.pyd
- %TEMP%\_MEI29682\win32file.pyd
- %TEMP%\_MEI29682\_ssl.pyd
- %TEMP%\_MEI29682\bz2.pyd
- %TEMP%\_MEI29682\select.pyd
- %TEMP%\_MEI29682\win32pipe.pyd
- %TEMP%\_MEI29682\win32gui.pyd
- %TEMP%\_MEI29682\unicodedata.pyd
- %TEMP%\_MEI29682\_ctypes.pyd
- %TEMP%\_MEI29682\win32api.pyd
- %TEMP%\_MEI29682\_multiprocessing.pyd
- %TEMP%\_MEI29682\pythoncom27.dll
- %TEMP%\_MEI29682\_socket.pyd
- %TEMP%\_MEI29682\pyexpat.pyd
- %TEMP%\_MEI29682\win32ui.pyd
- %TEMP%\_MEI29682\win32com.shell.shell.pyd
- %TEMP%\_MEI29682\win32trace.pyd
- %TEMP%\_MEI29682\_win32sysloader.pyd
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\mbapreq.png
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\License.htm
- %TEMP%\dd_vs_ultimate_20140327120757.log
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\BootstrapperApplicationData.xml
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\Themes.xaml
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\mbapreq.dll
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\SkuResources.xaml
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\mbapreq.thm
- %TEMP%\gr2fkh
- %TEMP%\_MEI29682\msvcp90.dll
- %TEMP%\_MEI29682\msvcr90.dll
- %TEMP%\_MEI29682\python27.dll
- %TEMP%\_MEI29682\msvcm90.dll
- %TEMP%\tmpmcphak\gen_py\dicts.dat
- %TEMP%\tmpmcphak\gen_py\__init__.py
- %TEMP%\_MEI29682\Microsoft.VC90.CRT.manifest
- %APPDATA%\pwo6\svchost.exe
- %TEMP%\_MEI29682\bin\phatk121016.cl
- %TEMP%\_MEI29682\bin\OpenCL.dll
- %TEMP%\_MEI29682\bin\pthreadGC2.dll
- %TEMP%\_MEI29682\bin\poclbm130302.cl
- %TEMP%\_MEI29682\bin\libeay32.dll
- %TEMP%\_MEI29682\bin\libcurl.dll
- %TEMP%\_MEI29682\bin\minerd.dll
- %TEMP%\_MEI29682\bin\libidn-11.dll
- %TEMP%\_MEI29682\bin\scrypt130511.cl
- %TEMP%\tmpuod5t3\gen_py\__init__.py
- %TEMP%\rm4yvz
- %APPDATA%\pwo6\state.tmp
- %TEMP%\tmpuod5t3\gen_py\dicts.dat
- %TEMP%\_MEI29682\bin\winlogon.exe
- %TEMP%\_MEI29682\bin\ssleay32.dll
- %TEMP%\_MEI29682\pwo6.exe.manifest
- %TEMP%\_MEI29682\bin\zlib1.dll
- %TEMP%\_MEI29682\bin\explorer.exe
- %TEMP%\_MEI29682\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI29682\pywintypes27.dll
- %TEMP%\_MEI29682\mfc90u.dll
- %TEMP%\_MEI29682\mfc90.dll
- %TEMP%\_MEI29682\_psutil_mswindows.pyd
- %TEMP%\_MEI29682\pyHook._cpyHook.pyd
- %TEMP%\_MEI29682\msgpack._packer.pyd
- %TEMP%\_MEI29682\msgpack._unpacker.pyd
- %TEMP%\_MEI29682\mfcm90.dll
- %TEMP%\_MEI29682\bin\csrss.exe
- %TEMP%\_MEI29682\include\pyconfig.h
- %TEMP%\_MEI29682\bin\diakgcn121016.cl
- %TEMP%\_MEI29682\bin\diablo130302.cl
- %TEMP%\_MEI29682\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI29682\mfcm90u.dll
- %TEMP%\_MEI29682\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI29682\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28282\win32api.pyd
- %TEMP%\_MEI28282\_multiprocessing.pyd
- %TEMP%\_MEI28282\pythoncom27.dll
- %TEMP%\_MEI28282\_socket.pyd
- %TEMP%\_MEI28282\pyexpat.pyd
- %TEMP%\_MEI28282\win32ui.pyd
- %TEMP%\_MEI28282\win32com.shell.shell.pyd
- %TEMP%\_MEI28282\win32trace.pyd
- %TEMP%\_MEI28282\pyHook._cpyHook.pyd
- %TEMP%\_MEI28282\mfc90.dll
- %TEMP%\_MEI28282\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28282\mfcm90.dll
- %TEMP%\_MEI28282\mfc90u.dll
- %TEMP%\_MEI28282\msgpack._unpacker.pyd
- %TEMP%\_MEI28282\_psutil_mswindows.pyd
- %TEMP%\_MEI28282\pywintypes27.dll
- %TEMP%\_MEI28282\msgpack._packer.pyd
- %TEMP%\_MEI28282\_ctypes.pyd
- %TEMP%\_MEI28282\msvcm90.dll
- %TEMP%\_MEI28282\msvcp90.dll
- %TEMP%\_MEI28282\_win32sysloader.pyd
- %TEMP%\_MEI28282\python27.dll
- %TEMP%\88615.exe
- %TEMP%\jdxxiaex.exe
- %TEMP%\_MEI28282\msvcr90.dll
- %TEMP%\_MEI28282\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28282\win32pipe.pyd
- %TEMP%\dd_88615_decompression_log.txt
- %TEMP%\_MEI28282\_hashlib.pyd
- %TEMP%\_MEI28282\_ssl.pyd
- %TEMP%\_MEI28282\bz2.pyd
- %TEMP%\_MEI28282\unicodedata.pyd
- %TEMP%\_MEI28282\select.pyd
- %TEMP%\_MEI28282\win32file.pyd
- %TEMP%\_MEI28282\win32gui.pyd
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\mbahost.dll
- %TEMP%\_MEI28282\pwo6.exe.manifest
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\BootstrapperCore.config
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\ManagedUx.dll
- %TEMP%\_MEI28282\bin\ssleay32.dll
- %TEMP%\_MEI28282\bin\scrypt130511.cl
- %TEMP%\_MEI28282\bin\zlib1.dll
- %TEMP%\_MEI28282\bin\winlogon.exe
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\HighContrastThemes.xaml
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\mbapreq.wxl
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\BootstrapperCore.dll
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\LocalizableStrings.xml
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\sqmapi.dll
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\res\stop.ico
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\AdminDeployment.xsd
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\res\info.ico
- %TEMP%\{ae17ae9b-af38-40d2-a194-6102c56ed502}\.ba1\res\warn.ico
- %TEMP%\_MEI28282\bin\pthreadGC2.dll
- %TEMP%\_MEI28282\bin\csrss.exe
- %TEMP%\_MEI28282\include\pyconfig.h
- %TEMP%\_MEI28282\bin\diakgcn121016.cl
- %TEMP%\_MEI28282\bin\diablo130302.cl
- %TEMP%\_MEI28282\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28282\mfcm90u.dll
- %TEMP%\_MEI28282\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28282\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28282\bin\explorer.exe
- %TEMP%\_MEI28282\bin\phatk121016.cl
- %TEMP%\_MEI28282\bin\OpenCL.dll
- %TEMP%\_MEI28282\bin\poclbm130302.cl
- C:\7fda73c31c3544a24b11969b4f0f69c2\vs_ultimate.exe
- %TEMP%\_MEI28282\bin\libeay32.dll
- %TEMP%\_MEI28282\bin\libcurl.dll
- %TEMP%\_MEI28282\bin\minerd.dll
- %TEMP%\_MEI28282\bin\libidn-11.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\pwo6\svchost.exe
Удаляет следующие файлы:
- %TEMP%\_MEI28282\python27.dll
- %TEMP%\_MEI28282\pyHook._cpyHook.pyd
- %TEMP%\_MEI28282\pyexpat.pyd
- %TEMP%\_MEI28282\pythoncom27.dll
- %TEMP%\_MEI28282\unicodedata.pyd
- %TEMP%\_MEI28282\select.pyd
- %TEMP%\_MEI28282\pywintypes27.dll
- %TEMP%\_MEI28282\msgpack._unpacker.pyd
- %TEMP%\_MEI28282\msgpack._packer.pyd
- %TEMP%\_MEI28282\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28282\msvcm90.dll
- %TEMP%\_MEI28282\pwo6.exe.manifest
- %TEMP%\_MEI28282\msvcr90.dll
- %TEMP%\_MEI28282\msvcp90.dll
- %TEMP%\_MEI28282\_multiprocessing.pyd
- %TEMP%\_MEI28282\_hashlib.pyd
- %TEMP%\_MEI28282\_ctypes.pyd
- %TEMP%\_MEI28282\_psutil_mswindows.pyd
- %TEMP%\_MEI28282\_win32sysloader.pyd
- %TEMP%\_MEI28282\_ssl.pyd
- %TEMP%\_MEI28282\_socket.pyd
- %TEMP%\_MEI28282\win32file.pyd
- %TEMP%\_MEI28282\win32com.shell.shell.pyd
- %TEMP%\_MEI28282\win32api.pyd
- %TEMP%\_MEI28282\win32gui.pyd
- %TEMP%\_MEI28282\win32ui.pyd
- %TEMP%\_MEI28282\win32trace.pyd
- %TEMP%\_MEI28282\win32pipe.pyd
- %TEMP%\_MEI28282\bin\minerd.dll
- %TEMP%\_MEI28282\bin\libidn-11.dll
- %TEMP%\_MEI28282\bin\libeay32.dll
- %TEMP%\_MEI28282\bin\OpenCL.dll
- %TEMP%\_MEI28282\bin\pthreadGC2.dll
- %TEMP%\_MEI28282\bin\poclbm130302.cl
- %TEMP%\_MEI28282\bin\phatk121016.cl
- %TEMP%\_MEI28282\bin\csrss.exe
- %TEMP%\rm4yvz
- %TEMP%\gr2fkh
- %TEMP%\_MEI28282\bin\diablo130302.cl
- %TEMP%\_MEI28282\bin\libcurl.dll
- %TEMP%\_MEI28282\bin\explorer.exe
- %TEMP%\_MEI28282\bin\diakgcn121016.cl
- %TEMP%\_MEI28282\mfc90.dll
- %TEMP%\_MEI28282\include\pyconfig.h
- %TEMP%\_MEI28282\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28282\mfc90u.dll
- %TEMP%\_MEI28282\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28282\mfcm90u.dll
- %TEMP%\_MEI28282\mfcm90.dll
- %TEMP%\_MEI28282\bin\winlogon.exe
- %TEMP%\_MEI28282\bin\ssleay32.dll
- %TEMP%\_MEI28282\bin\scrypt130511.cl
- %TEMP%\_MEI28282\bin\zlib1.dll
- %TEMP%\_MEI28282\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28282\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28282\bz2.pyd
Перемещает следующие файлы:
- %APPDATA%\pwo6\state.tmp в %APPDATA%\pwo6\state
Сетевая активность:
Подключается к:
- '76.##.17.194':9090
- '17#.#5.193.9':80
- 'localhost':33156
- 'localhost':1036
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
