Техническая информация
Вредоносные функции:
Внедряет код в
следующие системные процессы:
следующие пользовательские процессы:
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\VOS\New Package ID\PROG\%Temp%\Logger.exe
- %APPDATA%\VOS\New Package ID\PROG\%Temp%\tra.exe
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.2980.tmp
- %TEMP%\5ta3edwu.0.cs
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.2988.tmp
- %APPDATA%\VOS\New Package ID\PROG\%Temp%\start.exe
- %APPDATA%\VOS\New Package ID\CHANGES\CryptCheck.dat
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.2964.tmp
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.2972.tmp
- %TEMP%\4.tmp\5.bat
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.3140.tmp
- %TEMP%\RES8.tmp
- %TEMP%\dw.log
- %TEMP%\5ta3edwu.dll
- %TEMP%\2621B.dmp
- %TEMP%\5ta3edwu.out
- %TEMP%\5ta3edwu.cmdline
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.3016.tmp
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.3052.tmp
- %TEMP%\CSC7.tmp
- %APPDATA%\VOS\New Package ID\EngineStamps\ZipCache.20180225-150326.506.stamp
- %APPDATA%\VOS\New Package ID\AppVirtDll_New Package ID.dll
- %APPDATA%\VOS\New Package ID\VirtApp.ini
- %APPDATA%\VOS\New Package ID\EngineStamps\AppVirtDll_New Package ID.dll.20180225-150228.966.stamp
- %APPDATA%\VOS\New Package ID\EngineStamps\AppVirtDll64_New Package ID.dll.20180225-150228.998.stamp
- %APPDATA%\VOS\New Package ID\AppVirtDll64_New Package ID.dll
- %TEMP%\nsw3.tmp\System.dll
- %TEMP%\nsl2.tmp
- %APPDATA%\1337\update.exe
- %TEMP%\~DF88E8.tmp
- %APPDATA%\1337\SulfuriousInjector.exe
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db
- %APPDATA%\VOS\New Package ID\EngineStamps\VirtFiles.Prog.db.20180225-150326.507.stamp
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.2932.tmp
- %APPDATA%\VOS\New Package ID\ZipCache
- %APPDATA%\VOS\New Package ID\EngineStamps\DiskModeDeploy.marker
- %APPDATA%\VOS\New Package ID\EngineStamps\New Package ID.exe.20180225-150229.016.stamp
- %APPDATA%\VOS\New Package ID\New Package ID.exe
- %APPDATA%\VOS\New Package ID\New Package ID64.exe
- %APPDATA%\VOS\New Package ID\VirtFiles.Prog.db
- %APPDATA%\VOS\New Package ID\EngineStamps\New Package ID64.exe.20180225-150229.023.stamp
Удаляет следующие файлы:
- %TEMP%\4.tmp\5.bat
- %TEMP%\RES8.tmp
- %TEMP%\CSC7.tmp
- %TEMP%\nsw3.tmp\System.dll
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db
- %TEMP%\~DF88E8.tmp
Подменяет следующие файлы:
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db.2932.tmp
- %APPDATA%\VOS\New Package ID\CHANGES\VirtFiles.db
Сетевая активность:
Подключается к:
- 'ip###ger.com':443
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK ip###ger.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'GFXSVR'
Создает и запускает на исполнение:
- '%APPDATA%\VOS\New Package ID\PROG\%Temp%\tra.exe' tra.exe
- '%APPDATA%\VOS\New Package ID\PROG\%Temp%\Logger.exe' Logger.exe
- '%APPDATA%\1337\update.exe'
- '%APPDATA%\VOS\New Package ID\PROG\%Temp%\start.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8.tmp" "%TEMP%\CSC7.tmp"
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 944
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\4.tmp\5.bat" "%TEMP%\start.exe""
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\5ta3edwu.cmdline"
