Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dmutsapi' = '%APPDATA%\Microsoft\Corppres\aaaanfig.exe'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- opera.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\9992\38.bat
- %TEMP%\39.tmp
- %APPDATA%\Microsoft\Corppres\aaaanfig.exe
- %TEMP%\36.tmp
- %TEMP%\37.tmp
- %TEMP%\3D.tmp
- %TEMP%\3E.tmp
- %TEMP%\3C.tmp
- %TEMP%\3A.tmp
- %TEMP%\3B.tmp
- %TEMP%\35.tmp
- %TEMP%\2E.tmp
- %TEMP%\2F.tmp
- %TEMP%\2D.tmp
- %TEMP%\2B.tmp
- %TEMP%\2C.tmp
- %TEMP%\33.tmp
- %TEMP%\34.tmp
- %TEMP%\32.tmp
- %TEMP%\30.tmp
- %TEMP%\31.tmp
- %TEMP%\4D.tmp
- %TEMP%\4E.tmp
- %TEMP%\4C.tmp
- %TEMP%\4A.tmp
- %TEMP%\4B.tmp
- %TEMP%\D148.bi1
- %TEMP%\D144.bi1
- %TEMP%\51.tmp
- %TEMP%\4F.tmp
- %TEMP%\50.tmp
- %TEMP%\49.tmp
- %TEMP%\42.tmp
- %TEMP%\43.tmp
- %TEMP%\41.tmp
- %TEMP%\3F.tmp
- %TEMP%\40.tmp
- %TEMP%\47.tmp
- %TEMP%\48.tmp
- %TEMP%\46.tmp
- %TEMP%\44.tmp
- %TEMP%\45.tmp
- %TEMP%\F.tmp
- %TEMP%\10.tmp
- %TEMP%\E.tmp
- %TEMP%\C.tmp
- %TEMP%\D.tmp
- %TEMP%\14.tmp
- %TEMP%\15.tmp
- %TEMP%\13.tmp
- %TEMP%\11.tmp
- %TEMP%\12.tmp
- %TEMP%\B.tmp
- %TEMP%\4.tmp
- %TEMP%\5.tmp
- %TEMP%\3.tmp
- %TEMP%\1.tmp
- %TEMP%\2.tmp
- %TEMP%\9.tmp
- %TEMP%\A.tmp
- %TEMP%\8.tmp
- %TEMP%\6.tmp
- %TEMP%\7.tmp
- %TEMP%\24.tmp
- %TEMP%\25.tmp
- %TEMP%\23.tmp
- %TEMP%\21.tmp
- %TEMP%\22.tmp
- %TEMP%\29.tmp
- %TEMP%\2A.tmp
- %TEMP%\28.tmp
- %TEMP%\26.tmp
- %TEMP%\27.tmp
- %TEMP%\20.tmp
- %TEMP%\19.tmp
- %TEMP%\1A.tmp
- %TEMP%\18.tmp
- %TEMP%\16.tmp
- %TEMP%\17.tmp
- %TEMP%\1E.tmp
- %TEMP%\1F.tmp
- %TEMP%\1D.tmp
- %TEMP%\1B.tmp
- %TEMP%\1C.tmp
Удаляет следующие файлы:
- %TEMP%\39.tmp
- %TEMP%\3A.tmp
- %TEMP%\37.tmp
- %TEMP%\35.tmp
- %TEMP%\36.tmp
- %TEMP%\3E.tmp
- %TEMP%\3F.tmp
- %TEMP%\3D.tmp
- %TEMP%\3B.tmp
- %TEMP%\3C.tmp
- %TEMP%\2E.tmp
- %TEMP%\2F.tmp
- %TEMP%\2D.tmp
- %TEMP%\2B.tmp
- %TEMP%\2C.tmp
- %TEMP%\33.tmp
- %TEMP%\34.tmp
- %TEMP%\32.tmp
- %TEMP%\30.tmp
- %TEMP%\31.tmp
- %TEMP%\40.tmp
- %TEMP%\4E.tmp
- %TEMP%\4F.tmp
- %TEMP%\4D.tmp
- %TEMP%\4B.tmp
- %TEMP%\4C.tmp
- %TEMP%\D148.bi1
- %TEMP%\D144.bi1
- <Полный путь к файлу>
- %TEMP%\50.tmp
- %TEMP%\51.tmp
- %TEMP%\44.tmp
- %TEMP%\45.tmp
- %TEMP%\43.tmp
- %TEMP%\41.tmp
- %TEMP%\42.tmp
- %TEMP%\49.tmp
- %TEMP%\4A.tmp
- %TEMP%\48.tmp
- %TEMP%\46.tmp
- %TEMP%\47.tmp
- %TEMP%\2A.tmp
- %TEMP%\E.tmp
- %TEMP%\F.tmp
- %TEMP%\D.tmp
- %TEMP%\B.tmp
- %TEMP%\C.tmp
- %TEMP%\13.tmp
- %TEMP%\14.tmp
- %TEMP%\12.tmp
- %TEMP%\10.tmp
- %TEMP%\11.tmp
- %TEMP%\4.tmp
- %TEMP%\5.tmp
- %TEMP%\3.tmp
- %TEMP%\1.tmp
- %TEMP%\2.tmp
- %TEMP%\9.tmp
- %TEMP%\A.tmp
- %TEMP%\8.tmp
- %TEMP%\6.tmp
- %TEMP%\7.tmp
- %TEMP%\15.tmp
- %TEMP%\23.tmp
- %TEMP%\24.tmp
- %TEMP%\22.tmp
- %TEMP%\20.tmp
- %TEMP%\21.tmp
- %TEMP%\28.tmp
- %TEMP%\29.tmp
- %TEMP%\27.tmp
- %TEMP%\25.tmp
- %TEMP%\26.tmp
- %TEMP%\19.tmp
- %TEMP%\1A.tmp
- %TEMP%\18.tmp
- %TEMP%\16.tmp
- %TEMP%\17.tmp
- %TEMP%\1E.tmp
- %TEMP%\1F.tmp
- %TEMP%\1D.tmp
- %TEMP%\1B.tmp
- %TEMP%\1C.tmp
Сетевая активность:
Подключается к:
- 'ph#######rapie-im-rebenland.at':80
- 'in##mes.at':80
- 're#####r1.opendns.com':53
- 'de######igante.netsons.org':80
- 'if#d.it':80
- 'wp###talia.it':80
- 'pa###e.borec.cz':80
TCP:
Запросы HTTP GET:
- http://de######igante.netsons.org/plugins/finder/odmfjut.pt
- http://ph#######rapie-im-rebenland.at/log/Mjdhfur.rar
- http://in##mes.at/jvassets/zarch/x.rar
- http://if#d.it/wp-includes/pomo/sgyteac.pif
- http://wp###talia.it/xmlrpc/3223.tif
- http://pa###e.borec.cz/wp-includes/Text/azsecvt.zip
UDP:
- DNS ASK re#####r1.opendns.com
- DNS ASK in##mes.at
- DNS ASK ho##ngo.at
- DNS ASK mo##lik.at
- DNS ASK ph#######rapie-im-rebenland.at
- DNS ASK wp###talia.it
- DNS ASK if#d.it
- DNS ASK de######igante.netsons.org
- DNS ASK pa###e.borec.cz
Другое:
Ищет следующие окна:
- ClassName: 'ProgMan' WindowName: ''
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\Corppres\aaaanfig.exe' "<Полный путь к файлу>"
Запускает на исполнение:
- '<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\D148.bi1"
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\D144.bi1"
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\D144.bi1"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\9992\38.bat" "%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "<Полный путь к файлу>""
- '<SYSTEM32>\cmd.exe' /C ""%APPDATA%\Microsoft\Corppres\aaaanfig.exe" "<Полный путь к файлу>""
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\D148.bi1"
