Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ifaifa' = '"%ProgramFiles%\Obstructionism\sakamoto.exe" R99'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'gann' = '"%ProgramFiles%\Saffer\sakamoto.exe" R99'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ganngann' = '"%ProgramFiles%\Obstructionism\sakamoto.exe" R99'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rosenfield' = '"%ProgramFiles%\Saffer\sakamoto.exe" R99'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ecr' = '"%ProgramFiles%\rough\ecr.exe" R99'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'cristo' = '"%ProgramFiles%\Saffer\sakamoto.exe" R99'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'whiteman' = '"%ProgramFiles%\Saffer\sakamoto.exe" R99'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'whitemanwhiteman' = '"%ProgramFiles%\Obstructionism\sakamoto.exe" R99'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ifa' = '"%ProgramFiles%\Saffer\sakamoto.exe" R99'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'cristocristo' = '"%ProgramFiles%\Obstructionism\sakamoto.exe" R99'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\callow.lnk
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /im chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[8].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[7].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[6].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[11].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[10].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[9].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[2].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\ti20lnjamh18lnjamh03qloqxm01tilnjamh[2].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\ti20lnjamh18lnjamh03qloqxm01tilnjamh[1].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[5].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[4].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[3].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[20].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[19].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[18].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ti20lnjamh18lnjamh03qloqxm01tilnjamh[2].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[22].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[21].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[14].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[13].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[12].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[17].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[16].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[15].asp
- %TEMP%\nsp2.tmp\Microsoft.Win32.TaskScheduler.dll
- %TEMP%\nsp2.tmp\NMkizer.exe
- %TEMP%\nsp2.tmp\126190.exe
- <LS_APPDATA>\sakamoto.exe
- %ProgramFiles%\Saffer\sakamoto.exe
- %TEMP%\nsp2.tmp\112853.exe
- %TEMP%\nsp2.tmp\36783.exe
- %TEMP%\nsp2.tmp\20214.exe
- %TEMP%\nsp2.tmp\AccessControl.dll
- %TEMP%\nsp2.tmp\93762.exe
- %TEMP%\nsp2.tmp\86242.exe
- %TEMP%\nsp2.tmp\67875.exe
- %TEMP%\nstB.tmp\nsC.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ti20lnjamh18lnjamh03qloqxm01tilnjamh[1].asp
- %TEMP%\nstB.tmp\nsExec.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\ti20lnjamh18lnjamh03qloqxm01tilnjamh[1].asp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\ti20lnjamh18lnjamh03qloqxm01tilnjamh[1].asp
- %TEMP%\nsdE.tmp\ShellLink.dll
- %TEMP%\nsm5.tmp\SimpleFC.dll
- %ProgramFiles%\refrained\refrained.exe
- %ProgramFiles%\Obstructionism\sakamoto.exe
- %WINDIR%\sakamoto.exe
- %ProgramFiles%\rough\ecr.exe
- %TEMP%\nsx7.tmp\AccessControl.dll
Удаляет следующие файлы:
- %TEMP%\nsdE.tmp\ShellLink.dll
- %TEMP%\nsx7.tmp\AccessControl.dll
- %TEMP%\nsm5.tmp\SimpleFC.dll
Перемещает следующие файлы:
- %WINDIR%\sakamoto.exe в %WINDIR%\dupage.exe
- %ProgramFiles%\Saffer\sakamoto.exe в %ProgramFiles%\Saffer\sakamoto.dll
- %ProgramFiles%\Saffer\sakamoto.exe в %ProgramFiles%\Saffer\Saffer.exe
Подменяет следующие файлы:
- %ProgramFiles%\Saffer\sakamoto.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'ww##.##desmiramar.pw':80
- 'localhost':1046
- 'si###miramar.pw':80
- 'localhost':1036
- 'localhost':1038
TCP:
Запросы HTTP GET:
- http://ww##.##desmiramar.pw/ti20lnjamh18lnjamh03qloqxm01tilnjamh.asp?3v##################
- http://www.si###miramar.pw/ti20lnjamh18lnjamh03qloqxm01tilnjamh.asp?3v################## via si###miramar.pw
UDP:
- DNS ASK ww##.##desmiramar.pw
- DNS ASK www.si###miramar.pw
Другое:
Ищет следующие окна:
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\nsp2.tmp\67875.exe'
- '%ProgramFiles%\rough\ecr.exe'
- '%TEMP%\nsp2.tmp\112853.exe'
- '%TEMP%\nstB.tmp\nsC.tmp' taskkill /im chrome.exe
- '%TEMP%\nsp2.tmp\93762.exe'
- '%TEMP%\nsp2.tmp\86242.exe'
- '%TEMP%\nsp2.tmp\NMkizer.exe' "%ProgramFiles%\refrained\refrained.exe" "k47918289"
- '%TEMP%\nsp2.tmp\36783.exe'
- '%TEMP%\nsp2.tmp\126190.exe'
- '%TEMP%\nsp2.tmp\NMkizer.exe' "%ProgramFiles%\Saffer\sakamoto.exe" "53897022"
- '%TEMP%\nsp2.tmp\NMkizer.exe' "%ProgramFiles%\Obstructionism\sakamoto.exe" "47918289"
- '%ProgramFiles%\Obstructionism\sakamoto.exe' R99
- '%TEMP%\nsp2.tmp\NMkizer.exe' "<LS_APPDATA>\sakamoto.exe" "11538060"
