Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Java Update Center' = '%TEMP%\Svchost.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Java Update Center' = '%TEMP%\Svchost.bat'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\Svchost.bat
Запускает на исполнение:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\xdsxna5j.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ijftbrjt.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\fbdg9fnv.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\jdptthpm.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\v6invm6z.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\gvul-3nr.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\oen14swp.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\v0vvzdlx.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\n-w_58ew.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\3gfuighu.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\y7ep-luc.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\cxf6bsf_.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\6hyt1fwo.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\oc7sxq7-.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\wyhayr5k.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\r_9e9nat.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\qaz907qm.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\fho39fcy.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\q4h6ou22.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\3voibmzl.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\g8egp6n5.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\sck7zn4d.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\xceaasbg.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\lqz-ovnz.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\tplowlm2.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\mpaqyygo.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\uqmogcwe.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\jx-ezglw.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\s27kj0ro.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\o_w90l3s.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\vqyo_xrj.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\mikycf0j.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\dsz1reed.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\bbmwlx0v.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\qcoaqauc.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ijftbrjt.out
- %TEMP%\xdsxna5j.0.vb
- %TEMP%\xdsxna5j.cmdline
- %TEMP%\oen14swp.out
- %TEMP%\ijftbrjt.0.vb
- %TEMP%\ijftbrjt.cmdline
- %TEMP%\xdsxna5j.out
- %TEMP%\fbdg9fnv.0.vb
- %TEMP%\fbdg9fnv.cmdline
- %TEMP%\fbdg9fnv.out
- %TEMP%\jdptthpm.0.vb
- %TEMP%\jdptthpm.cmdline
- %TEMP%\jdptthpm.out
- %TEMP%\gvul-3nr.cmdline
- %TEMP%\gvul-3nr.out
- %TEMP%\v6invm6z.0.vb
- %TEMP%\fho39fcy.cmdline
- %TEMP%\fho39fcy.out
- %TEMP%\gvul-3nr.0.vb
- %TEMP%\v6invm6z.cmdline
- %TEMP%\v0vvzdlx.out
- %TEMP%\oen14swp.0.vb
- %TEMP%\oen14swp.cmdline
- %TEMP%\v6invm6z.out
- %TEMP%\v0vvzdlx.0.vb
- %TEMP%\v0vvzdlx.cmdline
- %TEMP%\n-w_58ew.0.vb
- %TEMP%\y7ep-luc.out
- %TEMP%\3gfuighu.0.vb
- %TEMP%\3gfuighu.cmdline
- %TEMP%\r_9e9nat.out
- %TEMP%\y7ep-luc.0.vb
- %TEMP%\y7ep-luc.cmdline
- %TEMP%\3gfuighu.out
- %TEMP%\cxf6bsf_.0.vb
- %TEMP%\cxf6bsf_.cmdline
- %TEMP%\cxf6bsf_.out
- %TEMP%\6hyt1fwo.0.vb
- %TEMP%\6hyt1fwo.cmdline
- %TEMP%\6hyt1fwo.out
- %TEMP%\wyhayr5k.cmdline
- %TEMP%\wyhayr5k.out
- %TEMP%\oc7sxq7-.0.vb
- %TEMP%\n-w_58ew.cmdline
- %TEMP%\n-w_58ew.out
- %TEMP%\wyhayr5k.0.vb
- %TEMP%\oc7sxq7-.cmdline
- %TEMP%\qaz907qm.out
- %TEMP%\r_9e9nat.0.vb
- %TEMP%\r_9e9nat.cmdline
- %TEMP%\oc7sxq7-.out
- %TEMP%\qaz907qm.0.vb
- %TEMP%\qaz907qm.cmdline
- %TEMP%\q4h6ou22.0.vb
- %TEMP%\q4h6ou22.cmdline
- %TEMP%\q4h6ou22.out
- %TEMP%\3voibmzl.0.vb
- %TEMP%\3voibmzl.cmdline
- %TEMP%\3voibmzl.out
- %TEMP%\sck7zn4d.0.vb
- %TEMP%\g8egp6n5.cmdline
- %TEMP%\g8egp6n5.out
- %TEMP%\uqmogcwe.0.vb
- %TEMP%\sck7zn4d.cmdline
- %TEMP%\sck7zn4d.out
- %TEMP%\g8egp6n5.0.vb
- %TEMP%\lqz-ovnz.out
- %TEMP%\xceaasbg.0.vb
- %TEMP%\xceaasbg.cmdline
- %TEMP%\Svchost.bat
- %TEMP%\lqz-ovnz.0.vb
- %TEMP%\lqz-ovnz.cmdline
- %TEMP%\xceaasbg.out
- %TEMP%\tplowlm2.0.vb
- %TEMP%\tplowlm2.cmdline
- %TEMP%\tplowlm2.out
- %TEMP%\mpaqyygo.0.vb
- %TEMP%\mpaqyygo.cmdline
- %TEMP%\mpaqyygo.out
- %TEMP%\uqmogcwe.cmdline
- %TEMP%\jx-ezglw.0.vb
- %TEMP%\jx-ezglw.cmdline
- %TEMP%\jx-ezglw.out
- %TEMP%\s27kj0ro.0.vb
- %TEMP%\s27kj0ro.cmdline
- %TEMP%\s27kj0ro.out
- %TEMP%\vqyo_xrj.0.vb
- %TEMP%\o_w90l3s.cmdline
- %TEMP%\o_w90l3s.out
- %TEMP%\fho39fcy.0.vb
- %TEMP%\vqyo_xrj.cmdline
- %TEMP%\vqyo_xrj.out
- %TEMP%\o_w90l3s.0.vb
- %TEMP%\dsz1reed.out
- %TEMP%\mikycf0j.0.vb
- %TEMP%\mikycf0j.cmdline
- %TEMP%\uqmogcwe.out
- %TEMP%\dsz1reed.0.vb
- %TEMP%\dsz1reed.cmdline
- %TEMP%\mikycf0j.out
- %TEMP%\bbmwlx0v.0.vb
- %TEMP%\bbmwlx0v.cmdline
- %TEMP%\bbmwlx0v.out
- %TEMP%\qcoaqauc.0.vb
- %TEMP%\qcoaqauc.cmdline
- %TEMP%\qcoaqauc.out
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\Svchost.bat
Удаляет следующие файлы:
- %TEMP%\ijftbrjt.cmdline
- %TEMP%\ijftbrjt.out
- %TEMP%\xdsxna5j.out
- %TEMP%\oen14swp.cmdline
- %TEMP%\oen14swp.out
- %TEMP%\ijftbrjt.0.vb
- %TEMP%\jdptthpm.cmdline
- %TEMP%\jdptthpm.out
- %TEMP%\fbdg9fnv.0.vb
- %TEMP%\xdsxna5j.cmdline
- %TEMP%\xdsxna5j.0.vb
- %TEMP%\jdptthpm.0.vb
- %TEMP%\oen14swp.0.vb
- %TEMP%\gvul-3nr.out
- %TEMP%\gvul-3nr.cmdline
- %TEMP%\gvul-3nr.0.vb
- %TEMP%\fho39fcy.0.vb
- %TEMP%\fho39fcy.out
- %TEMP%\fho39fcy.cmdline
- %TEMP%\v0vvzdlx.out
- %TEMP%\v0vvzdlx.0.vb
- %TEMP%\v0vvzdlx.cmdline
- %TEMP%\v6invm6z.0.vb
- %TEMP%\v6invm6z.cmdline
- %TEMP%\v6invm6z.out
- %TEMP%\fbdg9fnv.cmdline
- %TEMP%\y7ep-luc.out
- %TEMP%\y7ep-luc.cmdline
- %TEMP%\y7ep-luc.0.vb
- %TEMP%\r_9e9nat.cmdline
- %TEMP%\r_9e9nat.out
- %TEMP%\r_9e9nat.0.vb
- %TEMP%\6hyt1fwo.cmdline
- %TEMP%\6hyt1fwo.0.vb
- %TEMP%\6hyt1fwo.out
- %TEMP%\3gfuighu.cmdline
- %TEMP%\3gfuighu.0.vb
- %TEMP%\3gfuighu.out
- %TEMP%\qaz907qm.0.vb
- %TEMP%\n-w_58ew.cmdline
- %TEMP%\wyhayr5k.out
- %TEMP%\wyhayr5k.0.vb
- %TEMP%\fbdg9fnv.out
- %TEMP%\n-w_58ew.out
- %TEMP%\n-w_58ew.0.vb
- %TEMP%\oc7sxq7-.0.vb
- %TEMP%\qaz907qm.out
- %TEMP%\qaz907qm.cmdline
- %TEMP%\wyhayr5k.cmdline
- %TEMP%\oc7sxq7-.cmdline
- %TEMP%\oc7sxq7-.out
- %TEMP%\q4h6ou22.cmdline
- %TEMP%\q4h6ou22.out
- %TEMP%\sck7zn4d.0.vb
- %TEMP%\3voibmzl.out
- %TEMP%\3voibmzl.0.vb
- %TEMP%\q4h6ou22.0.vb
- %TEMP%\g8egp6n5.cmdline
- %TEMP%\g8egp6n5.out
- %TEMP%\uqmogcwe.out
- %TEMP%\sck7zn4d.out
- %TEMP%\sck7zn4d.cmdline
- %TEMP%\g8egp6n5.0.vb
- %TEMP%\3voibmzl.cmdline
- %TEMP%\xceaasbg.cmdline
- %TEMP%\xceaasbg.0.vb
- %TEMP%\xceaasbg.out
- %TEMP%\lqz-ovnz.0.vb
- %TEMP%\lqz-ovnz.out
- %TEMP%\lqz-ovnz.cmdline
- %TEMP%\tplowlm2.0.vb
- %TEMP%\tplowlm2.cmdline
- %TEMP%\tplowlm2.out
- %TEMP%\mpaqyygo.out
- %TEMP%\mpaqyygo.cmdline
- %TEMP%\mpaqyygo.0.vb
- %TEMP%\uqmogcwe.cmdline
- %TEMP%\jx-ezglw.0.vb
- %TEMP%\jx-ezglw.cmdline
- %TEMP%\jx-ezglw.out
- %TEMP%\s27kj0ro.cmdline
- %TEMP%\s27kj0ro.0.vb
- %TEMP%\s27kj0ro.out
- %TEMP%\o_w90l3s.0.vb
- %TEMP%\o_w90l3s.cmdline
- %TEMP%\o_w90l3s.out
- %TEMP%\vqyo_xrj.out
- %TEMP%\vqyo_xrj.0.vb
- %TEMP%\vqyo_xrj.cmdline
- %TEMP%\bbmwlx0v.0.vb
- %TEMP%\dsz1reed.out
- %TEMP%\mikycf0j.cmdline
- %TEMP%\mikycf0j.0.vb
- %TEMP%\uqmogcwe.0.vb
- %TEMP%\dsz1reed.0.vb
- %TEMP%\dsz1reed.cmdline
- %TEMP%\qcoaqauc.cmdline
- %TEMP%\bbmwlx0v.out
- %TEMP%\bbmwlx0v.cmdline
- %TEMP%\mikycf0j.out
- %TEMP%\qcoaqauc.out
- %TEMP%\qcoaqauc.0.vb
Сетевая активность:
Подключается к:
- 'ou####k.myvnc.com':6975
UDP:
- DNS ASK ou####k.myvnc.com
- '<IP-адрес в локальной сети>':1036
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
