Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{ZORS7KTS-H7K8-EBNO-VMI7-QISBTPA7TIX}' = '"%APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\r-8-8-64-1058640476-1330115106-1205953419-6724\{zors7kts-h7k8-ebno-vmi7-qisbtpa7tix}
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /pid 2676
- '%WINDIR%\syswow64\taskkill.exe' /f /pid 1984
- '%WINDIR%\syswow64\taskkill.exe' /f /pid 1124
- '%WINDIR%\syswow64\taskkill.exe' /f /pid 1436
- '%WINDIR%\syswow64\taskkill.exe' /f /pid 1300
Читает файлы, отвечающие за хранение паролей сторонними программами
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut62fb.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\ne64f5zb\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\yev0m6qz\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\n8xx0nzo\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\29oibszt\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
- %TEMP%\autcbd7.tmp
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.sqlite3.module.dll.9
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.sqlite3.module.dll
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\information.txt
- %TEMP%\aut3502.tmp
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.module.exe.9
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\steam\config\config.vdf
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- %APPDATA%\amd64_microsoft-windows-directui.resources\enu_687fe97426c389de2535
- %TEMP%\aut6677.tmp
- %APPDATA%\qdge9mxxtnuaeicp6p\build.exe
- %TEMP%\aut68ba.tmp
- %APPDATA%\vgpyotuosuzmbzx\1529398874_morana-batori-goryachie-slitye-foto-video-26.jpg
- %TEMP%\aut6bb9.tmp
- %APPDATA%\vgpyotuosuzmbzx\build.exe
- %TEMP%\aut6f54.tmp
- %APPDATA%\a1bnse9msdhg\1529398874_morana-batori-goryachie-slitye-foto-video-26.jpg
- %TEMP%\aut733d.tmp
- %APPDATA%\a1bnse9msdhg\build.exe
- %APPDATA%\qdge9mxxtnuaeicp6p\1529398874_morana-batori-goryachie-slitye-foto-video-26.jpg
- %TEMP%\aut74d4.tmp
- %TEMP%\aut79a7.tmp
- %APPDATA%\cv4dlxshumz7itfdyrovab\build.exe
- %TEMP%\aut7bbb.tmp
- %APPDATA%\4ucd71omyllvutqcx4\1529398874_morana-batori-goryachie-slitye-foto-video-26.jpg
- %TEMP%\aut7ee9.tmp
- %APPDATA%\4ucd71omyllvutqcx4\build.exe
- %TEMP%\aut81c8.tmp
- %APPDATA%\y2iomicpagbo2f8re\1529398874_morana-batori-goryachie-slitye-foto-video-26.jpg
- %TEMP%\aut864e.tmp
- %APPDATA%\y2iomicpagbo2f8re\build.exe
- %APPDATA%\cv4dlxshumz7itfdyrovab\1529398874_morana-batori-goryachie-slitye-foto-video-26.jpg
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.module.exe
- %APPDATA%\amd64_microsoft-windows-directui.resources\enu_687fe97426c389de2535.7z
Присваивает атрибут 'скрытый' для следующих файлов
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\ne64f5zb\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\yev0m6qz\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\n8xx0nzo\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\29oibszt\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- %TEMP%\aut62fb.tmp
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\information.txt
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.module.exe
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.module.exe.9
- %TEMP%\aut3502.tmp
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.sqlite3.module.dll
- %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.sqlite3.module.dll.9
- %TEMP%\autcbd7.tmp
- %APPDATA%\y2iomicpagbo2f8re\build.exe
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\telegram\инструкция по установке.txt
- %APPDATA%\a1bnse9msdhg\build.exe
- %APPDATA%\vgpyotuosuzmbzx\build.exe
- %APPDATA%\cv4dlxshumz7itfdyrovab\build.exe
- <SYSTEM32>\tasks\r-8-8-64-1058640476-1330115106-1205953419-6724\{zors7kts-h7k8-ebno-vmi7-qisbtpa7tix}
- %TEMP%\aut864e.tmp
- %TEMP%\aut81c8.tmp
- %TEMP%\aut7ee9.tmp
- %TEMP%\aut7bbb.tmp
- %TEMP%\aut79a7.tmp
- %TEMP%\aut74d4.tmp
- %TEMP%\aut733d.tmp
- %TEMP%\aut6f54.tmp
- %TEMP%\aut6bb9.tmp
- %TEMP%\aut68ba.tmp
- %TEMP%\aut6677.tmp
- %APPDATA%\4ucd71omyllvutqcx4\build.exe
- %APPDATA%\amd64_microsoft-windows-directui.resources\1\telegram\d877f783d5d3ef8c\map0
Перемещает следующие файлы
- %APPDATA%\qdge9mxxtnuaeicp6p\build.exe в %APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.exe
Сетевая активность
Подключается к
- '18#.#8.84.103':65233
UDP
- DNS ASK ap#.##legram.org
- DNS ASK ip##i.co
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\qdge9mxxtnuaeicp6p\build.exe'
- '%APPDATA%\vgpyotuosuzmbzx\build.exe'
- '%APPDATA%\a1bnse9msdhg\build.exe'
- '%APPDATA%\cv4dlxshumz7itfdyrovab\build.exe'
- '%APPDATA%\4ucd71omyllvutqcx4\build.exe'
- '%APPDATA%\y2iomicpagbo2f8re\build.exe'
- '%APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.exe'
- '%APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-directui.resources\ENU_687FE97426C389DE2535.7z" "%APPDATA%\amd64_microsoft-windows-directui.resources\1\*"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1984 & attrib -s -h -r -a /S /D "%APPDATA%\cv4DlXSHumz7iTFDyRovaB" & del /q /f "%APPDATA%\cv4DlXSHumz7iTFDyRovaB\Build.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1124 & attrib -s -h -r -a /S /D "%APPDATA%\vGPyOtuoSUZmBZX" & del /q /f "%APPDATA%\vGPyOtuoSUZmBZX\Build.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1436 & attrib -s -h -r -a /S /D "%APPDATA%\a1BnSe9msdhG" & del /q /f "%APPDATA%\a1BnSe9msdhG\Build.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 2676 & attrib -s -h -r -a /S /D "%APPDATA%\4UcD71oMYlLVUTQCx4" & del /q /f "%APPDATA%\4UcD71oMYlLVUTQCx4\Build.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1300 & attrib -s -h -r -a /S /D "%APPDATA%\Y2IomiCPagbo2f8rE" & del /q /f "%APPDATA%\Y2IomiCPagbo2f8rE\Build.exe"' (со скрытым окном)
- '%APPDATA%\amd64_microsoft-windows-directui.resources\winmmbase.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-directui.resources\ENU_687FE97426C389DE2535.7z" "%APPDATA%\amd64_microsoft-windows-directui.resources\1\*"' (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-directui.resources"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1984 & attrib -s -h -r -a /S /D "%APPDATA%\cv4DlXSHumz7iTFDyRovaB" & del /q /f "%APPDATA%\cv4DlXSHumz7iTFDyRovaB\Build.exe"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1124 & attrib -s -h -r -a /S /D "%APPDATA%\vGPyOtuoSUZmBZX" & del /q /f "%APPDATA%\vGPyOtuoSUZmBZX\Build.exe"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1436 & attrib -s -h -r -a /S /D "%APPDATA%\a1BnSe9msdhG" & del /q /f "%APPDATA%\a1BnSe9msdhG\Build.exe"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 2676 & attrib -s -h -r -a /S /D "%APPDATA%\4UcD71oMYlLVUTQCx4" & del /q /f "%APPDATA%\4UcD71oMYlLVUTQCx4\Build.exe"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /pid 1300 & attrib -s -h -r -a /S /D "%APPDATA%\Y2IomiCPagbo2f8rE" & del /q /f "%APPDATA%\Y2IomiCPagbo2f8rE\Build.exe"
- '%WINDIR%\syswow64\attrib.exe' -s -h -r -a /S /D "%APPDATA%\cv4DlXSHumz7iTFDyRovaB"
- '%WINDIR%\syswow64\attrib.exe' -s -h -r -a /S /D "%APPDATA%\vGPyOtuoSUZmBZX"
- '%WINDIR%\syswow64\attrib.exe' -s -h -r -a /S /D "%APPDATA%\4UcD71oMYlLVUTQCx4"
- '%WINDIR%\syswow64\attrib.exe' -s -h -r -a /S /D "%APPDATA%\a1BnSe9msdhG"
- '%WINDIR%\syswow64\attrib.exe' -s -h -r -a /S /D "%APPDATA%\Y2IomiCPagbo2f8rE"
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\amd64_microsoft-windows-directui.resources"
