Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Update Notifier' = '%APPDATA%\Isass.exe '
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Update Notifier' = '%APPDATA%\Isass.exe '
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Update Notifier.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\Update Notifier.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Isass.exe' /AutoIt3ExecuteScript "%TEMP%\delph1.dat"
- '%APPDATA%\Isass.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C echo. > "%APPDATA%\Isass.exe":Zone.Identifier
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aut6.tmp
- %TEMP%\pxmcwwu
- %APPDATA%\Isass.exe:Zone.Identifier
- %APPDATA%\07E721AE1943BE7380C25530D4BE8A21
- %APPDATA%\Isass.exe
- %TEMP%\aut7.tmp
- %TEMP%\ealgxzd
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\google[1]
- %TEMP%\aut8.tmp
- %TEMP%\aieecmm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\google[1]
- %TEMP%\tqektqy
- %TEMP%\delphi.au3.509
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\xfvclsb
- %TEMP%\delph1.bin
- %TEMP%\delph1.dat
- %TEMP%\aut5.tmp
- %TEMP%\pd4ta.dat
- %TEMP%\aut4.tmp
- %TEMP%\pd4ta.bin
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Update Notifier.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\Update Notifier.lnk
Удаляет следующие файлы:
- %TEMP%\aut7.tmp
- %TEMP%\pxmcwwu
- %TEMP%\aut6.tmp
- %TEMP%\ealgxzd
- %TEMP%\aut8.tmp
- %TEMP%\aieecmm
- %TEMP%\tqektqy
- %TEMP%\aut2.tmp
- %TEMP%\xfvclsb
- %TEMP%\aut1.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut3.tmp
Сетевая активность:
Подключается к:
- 'ph###delphia.ml':443
- '74.##5.232.51':80
TCP:
Запросы HTTP GET:
- http://google.com/ via 74.##5.232.51
UDP:
- DNS ASK ph###delphia.ml
- DNS ASK google.com
