Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\J8W6A378.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\J8W6A378.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\BsV5EaQp.exe' "%APPDATA%\qqBPSlA5n5wI\" "3jNHubg0j6kMtovL" "START" "60000"
- '%TEMP%\59xMnrGF.exe' "%APPDATA%\qqBPSlA5n5wI\" "3jNHubg0j6kMtovL" "LOCAL_40C792A0F8CFA9A8" "60000"
- '%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe' 3jNHubg0j6kMtovL
- '%APPDATA%\Microsoft\pf2fp7qK.exe' "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" "<LS_APPDATA>\Microsoft\afN2QPR6.exe" 1
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\#HOW-T~1.RTF" > "%HOMEPATH%\Templates\#How-to-return-files#.rtf"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" > "%TEMP%\lpn6vge3.exe" && "%TEMP%\lpn6vge3.exe" "%APPDATA%\qqBPSlA5n5wI\" "3jNHubg0j6kMtovL" "195_LESS_1GB" "60000"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" > "%TEMP%\wouzHjNn.exe" && "%TEMP%\wouzHjNn.exe" "%APPDATA%\qqBPSlA5n5wI\" "3jNHubg0j6kMtovL" "WIN_5.1_32|ADMIN_YES|INT_0" "60000"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\Microsoft\pf2fp7qK.exe" > "<LS_APPDATA>\Microsoft\afN2QPR6.exe" && "<LS_APPDATA>\Microsoft\afN2QPR6.exe" "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" "%APPDATA%\Microsoft\pf2fp7qK.e...
- '<SYSTEM32>\cacls.exe' "Z:\.live" /E /G %USERNAME%:F /C
- '<SYSTEM32>\cmd.exe' /C CACLS "Z:\.live" /E /G %USERNAME%:F /C & ATTRIB -R -A -H "Z:\.live"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" > "%TEMP%\59xMnrGF.exe" && "%TEMP%\59xMnrGF.exe" "%APPDATA%\qqBPSlA5n5wI\" "3jNHubg0j6kMtovL" "LOCAL_40C792A0F8CFA9A8" "60000"
- '<SYSTEM32>\cmd.exe' /C "%APPDATA%\qqBPSlA5n5wI\jBoN4Nvn.cmd"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" > "%TEMP%\BsV5EaQp.exe" && "%TEMP%\BsV5EaQp.exe" "%APPDATA%\qqBPSlA5n5wI\" "3jNHubg0j6kMtovL" "START" "60000"
- '<SYSTEM32>\cmd.exe' /C type "<Полный путь к файлу>" > "%APPDATA%\QQBPSL~1\J8W6A378.exe"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" > "<LS_APPDATA>\Microsoft\afN2QPR6.exe" && "<LS_APPDATA>\Microsoft\afN2QPR6.exe" "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" "%APPDATA%\Microsoft\pf2fp7q...
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" > "%APPDATA%\Microsoft\pf2fp7qK.exe" && "%APPDATA%\Microsoft\pf2fp7qK.exe" "%APPDATA%\qqBPSlA5n5wI\J8W6A378.exe" "<LS_APPDATA>\Microsoft\afN2QPR6.e...
- '<SYSTEM32>\ping.exe' -n 3 localhost
Внедряет код в
следующие пользовательские процессы:
- pf2fp7qK.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\wouzHjNn.exe
- %TEMP%\59xMnrGF.exe
- %APPDATA%\40C792A0F8CFA9A8.sek
- %HOMEPATH%\Templates\#How-to-return-files#.rtf
- %TEMP%\lpn6vge3.exe
- %APPDATA%\#How-to-return-files#.rtf
- %TEMP%\BsV5EaQp.exe
- %APPDATA%\qqBPSlA5n5wI\jBoN4Nvn.cmd
- %APPDATA%\qqBPSlA5n5wI\J8W6A378.exe
- %APPDATA%\40C792A0F8CFA9A8.pek
- <LS_APPDATA>\Microsoft\afN2QPR6.exe
- %APPDATA%\Microsoft\pf2fp7qK.exe
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK pp###ator.co
