Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'yowling' = '"%ProgramFiles%\bootstrapped\yowling.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'alhaji' = '"%ProgramFiles%\Edsall\partitions.exe"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\jockstrap.lnk
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /im chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsk2.tmp\17430.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\RCqftF2kcyx0kcyx1kcyx70LJ92RCqftF0kcyx[1].htm
- %TEMP%\nsfB.tmp\nsC.tmp
- %TEMP%\nsfB.tmp\nsExec.dll
- %WINDIR%\gabardine.exe
- %ProgramFiles%\bootstrapped\yowling.exe
- %ProgramFiles%\platitudes\platitudes.exe
- %TEMP%\nsq7.tmp\SimpleFC.dll
- %ProgramFiles%\Reck\partitions.exe
- %TEMP%\nsc5.tmp\AccessControl.dll
- <LS_APPDATA>\partitions.exe
- %ProgramFiles%\Edsall\partitions.exe
- %ProgramFiles%\Edsall\partitions.dll
- %ProgramFiles%\Edsall\Edsall.exe
- %TEMP%\nsk2.tmp\117454.exe
- %TEMP%\nsk2.tmp\Microsoft.Win32.TaskScheduler.dll
- %TEMP%\nsk2.tmp\NMhaverhill.exe
- %TEMP%\nsk2.tmp\125699.exe
- %TEMP%\nsk2.tmp\98818.exe
- %TEMP%\nsk2.tmp\72826.exe
- %TEMP%\nsk2.tmp\51068.exe
- %TEMP%\nsk2.tmp\38374.exe
- %TEMP%\nsuF.tmp\ShellLink.dll
- <LS_APPDATA>\Microsoft\Internet Explorer\MSIMGSIZ.DAT
Удаляет следующие файлы:
- %TEMP%\nsc5.tmp\AccessControl.dll
- %TEMP%\nsq7.tmp\SimpleFC.dll
- %TEMP%\nsuF.tmp\ShellLink.dll
- %TEMP%\nsu9.tmp\AccessControl.dll
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'localhost':1035
- 'localhost':1037
- 'sa####sgrafted.pw':80
- 'localhost':1040
TCP:
Запросы HTTP GET:
- http://www.sa####sgrafted.pw/RCqftF2kcyx0kcyx1kcyx70LJ92RCqftF0kcyx.htm?pe############################################### via sa####sgrafted.pw
UDP:
- DNS ASK www.sa####sgrafted.pw
- DNS ASK ww##.##piensgrafted.pw
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\nsk2.tmp\72826.exe'
- '%TEMP%\nsk2.tmp\NMhaverhill.exe' "%ProgramFiles%\Edsall\partitions.exe" "44830101"
- '%TEMP%\nsk2.tmp\125699.exe'
- '%ProgramFiles%\Edsall\partitions.exe'
- '%TEMP%\nsk2.tmp\38374.exe'
- '%TEMP%\nsk2.tmp\NMhaverhill.exe' "<LS_APPDATA>\partitions.exe" "33775760"
- '%ProgramFiles%\Reck\partitions.exe'
- '%TEMP%\nsk2.tmp\NMhaverhill.exe' "%ProgramFiles%\Reck\partitions.exe" "2418983"
- '%TEMP%\nsk2.tmp\NMhaverhill.exe' "%ProgramFiles%\platitudes\platitudes.exe" "k2418983"
- '%TEMP%\nsk2.tmp\117454.exe'
- '%ProgramFiles%\bootstrapped\yowling.exe'
- '%TEMP%\nsk2.tmp\51068.exe'
- '%TEMP%\nsk2.tmp\98818.exe'
- '%TEMP%\nsfB.tmp\nsC.tmp' taskkill /im chrome.exe
