Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowstefDSAJROGBUpdate' = '%TEMP%\67609913\plp.exe %TEMP%\67609913\vwl=dsx'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\67609913\gqk.ppt
- %TEMP%\67609913\ihb.icm
- %TEMP%\67609913\swr.mp4
- %TEMP%\67609913\jcn.docx
- %TEMP%\67609913\dnq.ico
- %TEMP%\67609913\rib.jpg
- %TEMP%\67609913\bko.mp4
- %TEMP%\67609913\tek.mp4
- %TEMP%\67609913\cpw.ico
- %TEMP%\67609913\frl.bmp
- %TEMP%\67609913\hjr.ico
- %TEMP%\67609913\tuo.icm
- %TEMP%\67609913\vsw.ico
- %TEMP%\67609913\mmw.xl
- %TEMP%\67609913\jlp.bmp
- %TEMP%\67609913\lur.bmp
- %TEMP%\67609913\vdn.mp4
- %TEMP%\67609913\thk.xl
- %TEMP%\67609913\bqv.xl
- %TEMP%\67609913\rfh.ppt
- %TEMP%\67609913\hlp.pdf
- %TEMP%\67609913\ktg.xl
- %TEMP%\67609913\obt.bmp
- %TEMP%\67609913\lxg.mp4
- %TEMP%\67609913\ofn.ppt
- %TEMP%\67609913\sjb.mp3
- %TEMP%\67609913\for.dat
- %TEMP%\67609913\plp.exe
- %TEMP%\67609913\ttw.jpg
- %TEMP%\67609913\mth.dat
- %TEMP%\67609913\ddg.mp4
- %TEMP%\67609913\uhq.icm
- %TEMP%\67609913\mpl.icm
- %TEMP%\67609913\plr.dat
- %TEMP%\67609913\wuj.xl
- %TEMP%\67609913\xul.mp3
- %TEMP%\67609913\qqt.xl
- %TEMP%\67609913\vwl=dsx
- %TEMP%\67609913\ekf.xl
- %TEMP%\67609913\nlc.mp4
- %TEMP%\67609913\bmc.jpg
- %TEMP%\67609913\jou.ico
- %TEMP%\67609913\hhn.mp3
- %TEMP%\67609913\oet.dat
- %TEMP%\67609913\imr.xl
- %TEMP%\67609913\dth.mp3
- %TEMP%\67609913\hwo.ppt
- %TEMP%\67609913\mjr.txt
- %TEMP%\67609913\xvl.dat
- %TEMP%\67609913\csx.dat
- %TEMP%\67609913\YJKZC
- %APPDATA%\STHHshjo\logs.dat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\67609913\bko.mp4
- %TEMP%\67609913\nlc.mp4
- %TEMP%\67609913\obt.bmp
- %TEMP%\67609913\oet.dat
- %TEMP%\67609913\ofn.ppt
- %TEMP%\67609913\plp.exe
- %TEMP%\67609913\plr.dat
- %TEMP%\67609913\qqt.xl
- %TEMP%\67609913\rfh.ppt
- %TEMP%\67609913\rib.jpg
- %TEMP%\67609913\hhn.mp3
- %TEMP%\67609913\sjb.mp3
- %TEMP%\67609913\tek.mp4
- %TEMP%\67609913\thk.xl
- %TEMP%\67609913\ttw.jpg
- %TEMP%\67609913\tuo.icm
- %TEMP%\67609913\uhq.icm
- %TEMP%\67609913\vdn.mp4
- %TEMP%\67609913\vsw.ico
- %TEMP%\67609913\vwl=dsx
- %TEMP%\67609913\wuj.xl
- %TEMP%\67609913\mpl.icm
- %TEMP%\67609913\mth.dat
- %TEMP%\67609913\mmw.xl
- %TEMP%\67609913\mjr.txt
- %TEMP%\67609913\lxg.mp4
- %TEMP%\67609913\bqv.xl
- %TEMP%\67609913\cpw.ico
- %TEMP%\67609913\csx.dat
- %TEMP%\67609913\ddg.mp4
- %TEMP%\67609913\dnq.ico
- %TEMP%\67609913\dth.mp3
- %TEMP%\67609913\ekf.xl
- %TEMP%\67609913\for.dat
- %TEMP%\67609913\frl.bmp
- %TEMP%\67609913\xul.mp3
- %TEMP%\67609913\swr.mp4
- %TEMP%\67609913\gqk.ppt
- %TEMP%\67609913\hlp.pdf
- %TEMP%\67609913\hwo.ppt
- %TEMP%\67609913\ihb.icm
- %TEMP%\67609913\imr.xl
- %TEMP%\67609913\jcn.docx
- %TEMP%\67609913\jlp.bmp
- %TEMP%\67609913\jou.ico
- %TEMP%\67609913\ktg.xl
- %TEMP%\67609913\lur.bmp
- %TEMP%\67609913\bmc.jpg
- %TEMP%\67609913\hjr.ico
- %TEMP%\67609913\xvl.dat
Удаляет следующие файлы:
- %TEMP%\67609913\YJKZC
Сетевая активность:
Подключается к:
- 'ca####as.hicam.net':2404
- 'ca#######x.chickenkiller.com':2404
- 'ca#####s45.hopto.org':2404
- 'ca#####s.libfoobar.so':2404
- 'du#####ute.sendsmtp.com':2404
- 'se#####s.wifizone.org':2404
- 'wi##.con-ip.com':2404
- 'rs######r.jumpingcrab.com':2404
UDP:
- DNS ASK www.google.com
- DNS ASK ca####as.hicam.net
- DNS ASK ca#######x.chickenkiller.com
- DNS ASK ca#####s45.hopto.org
- DNS ASK ca#####s.libfoobar.so
- DNS ASK du#####ute.sendsmtp.com
- DNS ASK se#####s.wifizone.org
- DNS ASK wi##.con-ip.com
- DNS ASK rs######r.jumpingcrab.com
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\67609913\plp.exe' vwl=dsx
- '%TEMP%\67609913\plp.exe' %TEMP%\67609913\YJKZC
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
