Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'conhost.exe' = '%APPDATA%\WindowsHelper\conhost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX2\install.exe'
- '%APPDATA%\WindowsHelper\conhost.exe'
- '%TEMP%\RarSFX2\Odnolom v1.0.exe'
- '%TEMP%\1.tmp\runner.exe'
- '%TEMP%\RarSFX0\good.exe' -pH8yVlhH8H8yVLhh8
- '%TEMP%\RarSFX1\Odnolom.exe' -pfotAhA-,96sonimo
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\2.bat" <Полный путь к файлу>"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX2\locales\ml.pak
- %TEMP%\RarSFX2\locales\mr.pak
- %TEMP%\RarSFX2\locales\lt.pak
- %TEMP%\RarSFX2\locales\lv.pak
- %TEMP%\RarSFX2\locales\nb.pak
- %TEMP%\RarSFX2\locales\pt-BR.pak
- %TEMP%\RarSFX2\locales\pt-PT.pak
- %TEMP%\RarSFX2\locales\nl.pak
- %TEMP%\RarSFX2\locales\pl.pak
- %TEMP%\RarSFX2\locales\hr.pak
- %TEMP%\RarSFX2\locales\hu.pak
- %TEMP%\RarSFX2\locales\he.pak
- %TEMP%\RarSFX2\locales\hi.pak
- %TEMP%\RarSFX2\locales\id.pak
- %TEMP%\RarSFX2\locales\kn.pak
- %TEMP%\RarSFX2\locales\ko.pak
- %TEMP%\RarSFX2\locales\it.pak
- %TEMP%\RarSFX2\locales\ja.pak
- %TEMP%\RarSFX2\locales\ro.pak
- %TEMP%\RarSFX2\locales\vi.pak
- %TEMP%\RarSFX2\locales\zh-CN.pak
- %TEMP%\RarSFX2\locales\tr.pak
- %TEMP%\RarSFX2\locales\uk.pak
- %TEMP%\RarSFX2\locales\zh-TW.pak
- %APPDATA%\WindowsHelper\iptel.exe
- %TEMP%\PSE20\d6ecfe2ea0931a2f481c48bc9d3b7926\php.ini
- %APPDATA%\WindowsHelper\conhost.exe
- %APPDATA%\WindowsHelper\schost.exe
- %TEMP%\RarSFX2\locales\sl.pak
- %TEMP%\RarSFX2\locales\sr.pak
- %TEMP%\RarSFX2\locales\ru.pak
- %TEMP%\RarSFX2\locales\sk.pak
- %TEMP%\RarSFX2\locales\sv.pak
- %TEMP%\RarSFX2\locales\te.pak
- %TEMP%\RarSFX2\locales\th.pak
- %TEMP%\RarSFX2\locales\sw.pak
- %TEMP%\RarSFX2\locales\ta.pak
- %TEMP%\RarSFX2\locales\gu.pak
- %TEMP%\RarSFX2\d3dcompiler_43.dll
- %TEMP%\RarSFX2\d3dx9_43.dll
- %TEMP%\RarSFX2\avformat-53.dll
- %TEMP%\RarSFX2\avutil-51.dll
- %TEMP%\RarSFX2\icudt.dll
- %TEMP%\RarSFX2\libGLESv2.dll
- %TEMP%\RarSFX2\php5ts.dll
- %TEMP%\RarSFX2\libcef.dll
- %TEMP%\RarSFX2\libEGL.dll
- %TEMP%\RarSFX0\good.exe
- %TEMP%\RarSFX1\Odnolom.exe
- %TEMP%\1.tmp\2.bat
- %TEMP%\1.tmp\runner.exe
- %TEMP%\RarSFX2\Uninstall.ini
- %TEMP%\RarSFX2\Uninstall.exe
- %TEMP%\RarSFX2\avcodec-53.dll
- %TEMP%\RarSFX2\install.exe
- %TEMP%\RarSFX2\Odnolom v1.0.exe
- %TEMP%\RarSFX2\locales\am.pak
- %TEMP%\RarSFX2\locales\es-419.pak
- %TEMP%\RarSFX2\locales\es.pak
- %TEMP%\RarSFX2\locales\en-GB.pak
- %TEMP%\RarSFX2\locales\en-US.pak
- %TEMP%\RarSFX2\locales\et.pak
- %TEMP%\RarSFX2\locales\fil.pak
- %TEMP%\RarSFX2\locales\fr.pak
- %TEMP%\RarSFX2\locales\fa.pak
- %TEMP%\RarSFX2\locales\fi.pak
- %TEMP%\RarSFX2\locales\bn.pak
- %TEMP%\RarSFX2\locales\ca.pak
- %TEMP%\RarSFX2\locales\ar.pak
- %TEMP%\RarSFX2\locales\bg.pak
- %TEMP%\RarSFX2\chrome.pak
- %TEMP%\RarSFX2\locales\de.pak
- %TEMP%\RarSFX2\locales\el.pak
- %TEMP%\RarSFX2\locales\cs.pak
- %TEMP%\RarSFX2\locales\da.pak
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\WindowsHelper\iptel.exe
- %APPDATA%\WindowsHelper\schost.exe
- %APPDATA%\WindowsHelper\conhost.exe
Удаляет следующие файлы:
- %TEMP%\aut6.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut4.tmp
Сетевая активность:
Подключается к:
- 'fu####fishing.ru':80
- 'ip###ger.com':443
TCP:
Запросы HTTP GET:
- http://fu####fishing.ru/
UDP:
- DNS ASK fu####fishing.ru
- DNS ASK ip###ger.com
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
