Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mcglincheyagronomist' = '"%ProgramFiles%\batts\schwarzkopf.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'agronomistmcglinchey' = '"%ProgramFiles%\batts\schwarzkopf.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mcglinchey' = '"%ProgramFiles%\Vineyard\armpit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'agronomistagronomist' = '"%ProgramFiles%\Pomposity\armpit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'lymphocyte' = '"%ProgramFiles%\Vineyard\armpit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'doughnuts' = '"%ProgramFiles%\responsibly\doughnuts.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mcglincheymcglinchey' = '"%ProgramFiles%\Pomposity\armpit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sconcesangling' = '"%ProgramFiles%\batts\schwarzkopf.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'angling' = '"%ProgramFiles%\Vineyard\armpit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sconces' = '"%ProgramFiles%\Vineyard\armpit.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'anglingsconces' = '"%ProgramFiles%\batts\schwarzkopf.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'agronomist' = '"%ProgramFiles%\Vineyard\armpit.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'anglingangling' = '"%ProgramFiles%\Pomposity\armpit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sconcessconces' = '"%ProgramFiles%\Pomposity\armpit.exe"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\odinodin.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\odin.lnk
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /im chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[4].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[3].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[2].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[3].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[2].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[5].asp
- %TEMP%\nsjD.tmp\ShellLink.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[1].asp
- %TEMP%\nsqA.tmp\nsB.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[1].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[1].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[1].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[12].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[11].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[10].asp
- <LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[14].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[13].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[6].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[5].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[4].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[9].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[8].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx[7].asp
- %ProgramFiles%\Vineyard\Vineyard.exe
- %TEMP%\nso2.tmp\119029.exe
- %TEMP%\nso2.tmp\Microsoft.Win32.TaskScheduler.dll
- %ProgramFiles%\batts\batts.exe
- %ProgramFiles%\Vineyard\armpit.exe
- %ProgramFiles%\Vineyard\armpit.dll
- %TEMP%\nso2.tmp\53158.exe
- %TEMP%\nso2.tmp\34443.exe
- %TEMP%\nso2.tmp\22918.exe
- %TEMP%\nso2.tmp\NMlyles.exe
- %TEMP%\nso2.tmp\133144.exe
- %TEMP%\nso2.tmp\107054.exe
- %TEMP%\nsp7.tmp\AccessControl.dll
- %ProgramFiles%\inexorably\inexorably.exe
- %ProgramFiles%\Pomposity\schwarzkopf.exe
- %TEMP%\nsqA.tmp\nsExec.dll
- %WINDIR%\waggling.exe
- %ProgramFiles%\responsibly\doughnuts.exe
- <LS_APPDATA>\armpit.exe
- %ProgramFiles%\batts\schwarzkopf.exe
- %ProgramFiles%\batts\schwarzkopf.dll
- %ProgramFiles%\Pomposity\armpit.exe
- %TEMP%\nst5.tmp\SimpleFC.dll
- <LS_APPDATA>\schwarzkopf.exe
Удаляет следующие файлы:
- %TEMP%\nsjD.tmp\ShellLink.dll
- %TEMP%\nsp7.tmp\AccessControl.dll
- %TEMP%\nst5.tmp\SimpleFC.dll
Сетевая активность:
Подключается к:
- 'pa###baexons.pw':80
- 'localhost':1047
- 'localhost':1041
- 'localhost':1037
- 'localhost':1038
TCP:
Запросы HTTP GET:
- http://www.pa###baexons.pw/es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx.asp?0s################## via pa###baexons.pw
- http://www.pa###baexons.pw/es2diflwx0diflwx1diflwx8diflwx0ptxwv2ptxwv2es1esdiflwx.asp?0s################### via pa###baexons.pw
UDP:
- DNS ASK www.pa###baexons.pw
Другое:
Ищет следующие окна:
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\nso2.tmp\NMlyles.exe' "%ProgramFiles%\inexorably\inexorably.exe" "nowell"
- '%TEMP%\nso2.tmp\119029.exe'
- '%TEMP%\nso2.tmp\NMlyles.exe' "%ProgramFiles%\Pomposity\armpit.exe" "nitwit_geraniums"
- '%TEMP%\nso2.tmp\NMlyles.exe' "%ProgramFiles%\Pomposity\schwarzkopf.exe" "dwelling girly"
- '%TEMP%\nso2.tmp\107054.exe'
- '%TEMP%\nsqA.tmp\nsB.tmp' taskkill /im chrome.exe
- '%ProgramFiles%\responsibly\doughnuts.exe'
- '%TEMP%\nso2.tmp\53158.exe'
- '%ProgramFiles%\Pomposity\schwarzkopf.exe'
- '%TEMP%\nso2.tmp\133144.exe'
- '%ProgramFiles%\Vineyard\armpit.exe'
- '%TEMP%\nso2.tmp\NMlyles.exe' "%ProgramFiles%\Vineyard\armpit.exe" "beery"
- '%TEMP%\nso2.tmp\NMlyles.exe' "%ProgramFiles%\batts\schwarzkopf.exe" "nondiscriminatory-barbera"
- '%TEMP%\nso2.tmp\NMlyles.exe' "<LS_APPDATA>\schwarzkopf.exe" "arjun_cell"
- '%ProgramFiles%\Pomposity\armpit.exe'
- '%TEMP%\nso2.tmp\34443.exe'
- '%TEMP%\nso2.tmp\NMlyles.exe' "<LS_APPDATA>\armpit.exe" "zina clays hildreth"
