Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sodomized' = '"%ProgramFiles%\Rhoden\bayliss.exe" 0O3'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'subordinated' = '"%ProgramFiles%\Rhoden\bayliss.exe" 0O3'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sodomizedsodomized' = '"%ProgramFiles%\Burrage\bayliss.exe" 0O3'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'subordinatedsubordinated' = '"%ProgramFiles%\Burrage\bayliss.exe" 0O3'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dimples' = '"%ProgramFiles%\Rhoden\bayliss.exe" 0O3'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'perseverance' = '"%ProgramFiles%\Rhoden\bayliss.exe" 0O3'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dimplesdimples' = '"%ProgramFiles%\Burrage\bayliss.exe" 0O3'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'perseveranceperseverance' = '"%ProgramFiles%\Burrage\bayliss.exe" 0O3'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'mulloy' = '"%ProgramFiles%\jimi\mulloy.exe" 0O3'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'badar' = '"%ProgramFiles%\Rhoden\bayliss.exe" 0O3'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\miscreant.lnk
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /im chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsh2.tmp\AccessControl.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[8].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[7].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[6].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[5].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[4].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[3].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[2].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[1].htm
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\qogek20inzkl18inzkl03jsz03qogekinzkl[1].htm
- %TEMP%\nsdE.tmp\ShellLink.dll
- %TEMP%\nspB.tmp\nsC.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\qogek20inzkl18inzkl03jsz03qogekinzkl[1].htm
- %TEMP%\nspB.tmp\nsExec.dll
- %WINDIR%\bayliss.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[9].htm
- %ProgramFiles%\jimi\mulloy.exe
- %TEMP%\nst5.tmp\SimpleFC.dll
- %ProgramFiles%\noster\noster.exe
- %ProgramFiles%\Burrage\bayliss.exe
- <LS_APPDATA>\bayliss.exe
- %ProgramFiles%\Rhoden\bayliss.exe
- %TEMP%\nsh2.tmp\116912.exe
- %TEMP%\nsh2.tmp\Microsoft.Win32.TaskScheduler.dll
- %TEMP%\nsh2.tmp\NMsanders.exe
- %TEMP%\nsh2.tmp\135720.exe
- %TEMP%\nsh2.tmp\94430.exe
- %TEMP%\nsh2.tmp\74155.exe
- %TEMP%\nsh2.tmp\58287.exe
- %TEMP%\nsh2.tmp\44416.exe
- %TEMP%\nsh2.tmp\25567.exe
- %TEMP%\nsd7.tmp\AccessControl.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\qogek20inzkl18inzkl03jsz03qogekinzkl[10].htm
Удаляет следующие файлы:
- %TEMP%\nst5.tmp\SimpleFC.dll
- %TEMP%\nsd7.tmp\AccessControl.dll
- %TEMP%\nsdE.tmp\ShellLink.dll
Перемещает следующие файлы:
- %ProgramFiles%\Rhoden\bayliss.exe в %ProgramFiles%\Rhoden\Rhoden.exe
- %ProgramFiles%\Rhoden\bayliss.exe в %ProgramFiles%\Rhoden\bayliss.dll
- %WINDIR%\bayliss.exe в %WINDIR%\regulative.exe
Подменяет следующие файлы:
- %ProgramFiles%\Rhoden\bayliss.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'localhost':1037
- 'localhost':1038
- 'ro###ecce.pw':80
- 'localhost':1044
TCP:
Запросы HTTP GET:
- http://www.ro###ecce.pw/qogek20inzkl18inzkl03jsz03qogekinzkl.htm?1p################## via ro###ecce.pw
UDP:
- DNS ASK www.ro###ecce.pw
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\nsh2.tmp\NMsanders.exe' "%ProgramFiles%\Rhoden\bayliss.exe" "35656123"
- '%TEMP%\nsh2.tmp\135720.exe'
- '%TEMP%\nsh2.tmp\44416.exe'
- '%TEMP%\nsh2.tmp\NMsanders.exe' "<LS_APPDATA>\bayliss.exe" "65426258"
- '%ProgramFiles%\Burrage\bayliss.exe' 0O3
- '%TEMP%\nsh2.tmp\NMsanders.exe' "%ProgramFiles%\Burrage\bayliss.exe" "42656017"
- '%TEMP%\nsh2.tmp\NMsanders.exe' "%ProgramFiles%\noster\noster.exe" "k42656017"
- '%TEMP%\nsh2.tmp\116912.exe'
- '%ProgramFiles%\jimi\mulloy.exe'
- '%TEMP%\nsh2.tmp\58287.exe'
- '%TEMP%\nsh2.tmp\74155.exe'
- '%TEMP%\nspB.tmp\nsC.tmp' taskkill /im chrome.exe
- '%TEMP%\nsh2.tmp\94430.exe'
