Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AudioNahimic' = '<Полный путь к файлу>'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AudioNahimic' = '%APPDATA%\<Имя файла>.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'vbc.exe' = '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe'
Изменяет следующие исполняемые системные файлы
- <SYSTEM32>\ping.exe
- <SYSTEM32>\cmd.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe
следующие пользовательские процессы:
- vbc.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut1.tmp
- %TEMP%\aut61.tmp
- %TEMP%\aut62.tmp
- %TEMP%\aut63.tmp
- %TEMP%\aut64.tmp
- %TEMP%\aut65.tmp
- %TEMP%\aut53.tmp
- %TEMP%\aut66.tmp
- %TEMP%\aut68.tmp
- %TEMP%\aut69.tmp
- %TEMP%\aut6a.tmp
- %TEMP%\aut6b.tmp
- %TEMP%\aut6c.tmp
- %TEMP%\aut6d.tmp
- %TEMP%\aut5e.tmp
- %TEMP%\aut67.tmp
- %TEMP%\aut60.tmp
- %TEMP%\aut5f.tmp
- %TEMP%\aut5d.tmp
- %TEMP%\aut5c.tmp
- %TEMP%\aut4d.tmp
- %TEMP%\aut4e.tmp
- %TEMP%\aut4f.tmp
- %TEMP%\aut50.tmp
- %TEMP%\aut51.tmp
- %TEMP%\aut6e.tmp
- %TEMP%\aut52.tmp
- %TEMP%\aut4a.tmp
- %TEMP%\aut54.tmp
- %TEMP%\aut56.tmp
- %TEMP%\aut57.tmp
- %TEMP%\aut58.tmp
- %TEMP%\aut59.tmp
- %TEMP%\aut5a.tmp
- %TEMP%\aut4b.tmp
- %TEMP%\aut5b.tmp
- %TEMP%\aut55.tmp
- %TEMP%\aut4c.tmp
- %TEMP%\aut6f.tmp
- %TEMP%\aut73.tmp
- %TEMP%\aut87.tmp
- %TEMP%\aut88.tmp
- %TEMP%\aut89.tmp
- %TEMP%\aut8a.tmp
- %TEMP%\aut8b.tmp
- %TEMP%\aut8c.tmp
- %TEMP%\aut83.tmp
- %TEMP%\aut8d.tmp
- %TEMP%\aut8f.tmp
- %TEMP%\aut90.tmp
- %TEMP%\aut91.tmp
- %TEMP%\aut92.tmp
- %TEMP%\aut93.tmp
- %TEMP%\aut94.tmp
- %TEMP%\aut85.tmp
- %TEMP%\aut86.tmp
- %TEMP%\aut84.tmp
- %TEMP%\aut82.tmp
- %TEMP%\aut2d.tmp
- %TEMP%\aut74.tmp
- %TEMP%\aut75.tmp
- %TEMP%\aut76.tmp
- %TEMP%\aut77.tmp
- %TEMP%\aut78.tmp
- %TEMP%\aut70.tmp
- %TEMP%\aut72.tmp
- %TEMP%\aut71.tmp
- %TEMP%\aut79.tmp
- %TEMP%\aut7d.tmp
- %TEMP%\aut7e.tmp
- %TEMP%\aut7f.tmp
- %TEMP%\aut80.tmp
- %TEMP%\aut81.tmp
- %TEMP%\aut7a.tmp
- %TEMP%\aut7b.tmp
- %TEMP%\aut7c.tmp
- %TEMP%\aut49.tmp
- %TEMP%\aut48.tmp
- %TEMP%\aut47.tmp
- %TEMP%\aut16.tmp
- %TEMP%\aut17.tmp
- %APPDATA%\z0bazwxx\jvauyc32.exe
- %TEMP%\aut18.tmp
- %TEMP%\aut19.tmp
- %TEMP%\aut1a.tmp
- %APPDATA%\z0bazwxx\gjhax_32.exe
- %TEMP%\aut1b.tmp
- %TEMP%\aut1d.tmp
- %TEMP%\aut1e.tmp
- %TEMP%\aut1f.tmp
- %TEMP%\aut20.tmp
- %TEMP%\aut21.tmp
- %TEMP%\aut13.tmp
- %TEMP%\aut12.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut10.tmp
- %TEMP%\1.resource
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut22.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut1c.tmp
- %TEMP%\aut9.tmp
- %TEMP%\autb.tmp
- %TEMP%\autc.tmp
- %TEMP%\autd.tmp
- %TEMP%\aute.tmp
- %TEMP%\autf.tmp
- %TEMP%\aut8.tmp
- %APPDATA%\<Имя файла>.exe
- %TEMP%\auta.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut23.tmp
- %TEMP%\aut37.tmp
- %TEMP%\aut39.tmp
- %TEMP%\aut3a.tmp
- %TEMP%\aut3b.tmp
- %TEMP%\aut3c.tmp
- %TEMP%\aut3d.tmp
- %APPDATA%\z0bazwxx\synfu_fn.exe
- %TEMP%\aut24.tmp
- %TEMP%\aut38.tmp
- %TEMP%\aut3e.tmp
- %TEMP%\aut42.tmp
- %TEMP%\aut43.tmp
- %TEMP%\aut44.tmp
- %TEMP%\aut45.tmp
- %TEMP%\aut46.tmp
- %TEMP%\aut3f.tmp
- %TEMP%\aut40.tmp
- %TEMP%\aut41.tmp
- %TEMP%\aut8e.tmp
- %TEMP%\aut95.tmp
- %TEMP%\aut34.tmp
- %TEMP%\aut26.tmp
- %TEMP%\aut27.tmp
- %TEMP%\aut28.tmp
- %TEMP%\aut29.tmp
- %TEMP%\aut2a.tmp
- %TEMP%\aut2b.tmp
- %TEMP%\aut35.tmp
- %TEMP%\aut36.tmp
- %TEMP%\aut2c.tmp
- %TEMP%\aut2f.tmp
- %APPDATA%\z0bazwxx\uu.exe
- %TEMP%\aut30.tmp
- %TEMP%\aut31.tmp
- %TEMP%\aut32.tmp
- %TEMP%\aut33.tmp
- %TEMP%\aut25.tmp
- %TEMP%\aut2e.tmp
- %TEMP%\aut96.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
- %APPDATA%\<Имя файла>.exe
Удаляет следующие файлы
- %TEMP%\aut1.tmp
- %TEMP%\aut60.tmp
- %TEMP%\aut61.tmp
- %TEMP%\aut62.tmp
- %TEMP%\aut63.tmp
- %TEMP%\aut64.tmp
- %TEMP%\aut65.tmp
- %TEMP%\aut53.tmp
- %TEMP%\aut66.tmp
- %TEMP%\aut68.tmp
- %TEMP%\aut69.tmp
- %TEMP%\aut6a.tmp
- %TEMP%\aut6b.tmp
- %TEMP%\aut6c.tmp
- %TEMP%\aut6d.tmp
- %TEMP%\aut5e.tmp
- %TEMP%\aut5f.tmp
- %TEMP%\aut5d.tmp
- %TEMP%\aut5c.tmp
- %TEMP%\aut5b.tmp
- %TEMP%\aut4c.tmp
- %TEMP%\aut4d.tmp
- %TEMP%\aut4e.tmp
- %TEMP%\aut4f.tmp
- %TEMP%\aut50.tmp
- %TEMP%\aut51.tmp
- %TEMP%\aut6e.tmp
- %TEMP%\aut67.tmp
- %TEMP%\aut52.tmp
- %TEMP%\aut55.tmp
- %TEMP%\aut56.tmp
- %TEMP%\aut57.tmp
- %TEMP%\aut58.tmp
- %TEMP%\aut59.tmp
- %TEMP%\aut5a.tmp
- %TEMP%\aut4b.tmp
- %TEMP%\aut54.tmp
- %TEMP%\aut7a.tmp
- %TEMP%\aut95.tmp
- %TEMP%\aut71.tmp
- %TEMP%\aut87.tmp
- %TEMP%\aut88.tmp
- %TEMP%\aut89.tmp
- %TEMP%\aut8a.tmp
- %TEMP%\aut8b.tmp
- %TEMP%\aut8c.tmp
- %TEMP%\aut6f.tmp
- %TEMP%\aut8d.tmp
- %TEMP%\aut8f.tmp
- %TEMP%\aut90.tmp
- %TEMP%\aut91.tmp
- %TEMP%\aut92.tmp
- %TEMP%\aut93.tmp
- %TEMP%\aut94.tmp
- %TEMP%\aut85.tmp
- %TEMP%\aut86.tmp
- %TEMP%\aut84.tmp
- %TEMP%\aut83.tmp
- %TEMP%\aut82.tmp
- %TEMP%\aut73.tmp
- %TEMP%\aut74.tmp
- %TEMP%\aut75.tmp
- %TEMP%\aut76.tmp
- %TEMP%\aut77.tmp
- %TEMP%\aut78.tmp
- %TEMP%\aut70.tmp
- %TEMP%\aut4a.tmp
- %TEMP%\aut79.tmp
- %TEMP%\aut7c.tmp
- %TEMP%\aut7d.tmp
- %TEMP%\aut7e.tmp
- %TEMP%\aut7f.tmp
- %TEMP%\aut80.tmp
- %TEMP%\aut81.tmp
- %TEMP%\aut72.tmp
- %TEMP%\aut7b.tmp
- %TEMP%\aut8e.tmp
- %TEMP%\aut49.tmp
- %TEMP%\aut40.tmp
- %TEMP%\aut17.tmp
- %TEMP%\aut18.tmp
- %TEMP%\aut19.tmp
- %TEMP%\aut1a.tmp
- %TEMP%\aut1b.tmp
- %TEMP%\aut1c.tmp
- %TEMP%\auta.tmp
- %TEMP%\aut1d.tmp
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe
- %TEMP%\aut1f.tmp
- %TEMP%\aut20.tmp
- %APPDATA%\z0bazwxx\jvauyc32.exe
- %TEMP%\aut21.tmp
- %TEMP%\aut22.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut16.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut13.tmp
- %TEMP%\aut12.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut23.tmp
- %TEMP%\aut1e.tmp
- %TEMP%\aut9.tmp
- %TEMP%\autc.tmp
- %TEMP%\autd.tmp
- %TEMP%\aute.tmp
- %TEMP%\autf.tmp
- %TEMP%\aut10.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut2.tmp
- %TEMP%\autb.tmp
- %TEMP%\aut2e.tmp
- %TEMP%\aut47.tmp
- %TEMP%\aut26.tmp
- %TEMP%\aut3a.tmp
- %TEMP%\aut3b.tmp
- %TEMP%\aut3c.tmp
- %TEMP%\aut3d.tmp
- %TEMP%\aut3e.tmp
- %APPDATA%\z0bazwxx\synfu_fn.exe
- %TEMP%\aut24.tmp
- %TEMP%\aut3f.tmp
- %TEMP%\aut41.tmp
- %TEMP%\aut42.tmp
- %TEMP%\aut43.tmp
- %TEMP%\aut44.tmp
- %TEMP%\aut45.tmp
- %TEMP%\aut46.tmp
- %TEMP%\aut38.tmp
- %TEMP%\aut39.tmp
- %TEMP%\aut37.tmp
- %TEMP%\aut36.tmp
- %APPDATA%\z0bazwxx\uu.exe
- %TEMP%\aut28.tmp
- %TEMP%\aut29.tmp
- %TEMP%\aut2a.tmp
- %TEMP%\aut2b.tmp
- %TEMP%\aut2c.tmp
- %TEMP%\aut2d.tmp
- %TEMP%\aut25.tmp
- %TEMP%\aut48.tmp
- %APPDATA%\z0bazwxx\gjhax_32.exe
- %TEMP%\aut30.tmp
- %TEMP%\aut31.tmp
- %TEMP%\aut32.tmp
- %TEMP%\aut33.tmp
- %TEMP%\aut34.tmp
- %TEMP%\aut35.tmp
- %TEMP%\aut27.tmp
- %TEMP%\aut2f.tmp
- %TEMP%\aut96.tmp
Сетевая активность
UDP
- DNS ASK ns.##tbit.me
- DNS ASK al###.###pdns.cryptostorm.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\<Имя файла>.exe'
- '%APPDATA%\z0bazwxx\jvauyc32.exe'
- '%APPDATA%\z0bazwxx\gjhax_32.exe'
- '%APPDATA%\z0bazwxx\uu.exe'
- '%APPDATA%\z0bazwxx\synfu_fn.exe'
- '<SYSTEM32>\cmd.exe' /a /c ping 127.0.0.1 -n 3&del "%WINDIR%\MICROS~1.NET\FRAMEW~1\V40~1.303\vbc.exe"' (со скрытым окном)
- '%APPDATA%\z0bazwxx\jvauyc32.exe' ' (со скрытым окном)
- '%APPDATA%\z0bazwxx\gjhax_32.exe' ' (со скрытым окном)
- '%APPDATA%\z0bazwxx\uu.exe' ' (со скрытым окном)
- '%APPDATA%\z0bazwxx\synfu_fn.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe'
- '<SYSTEM32>\cmd.exe' /a /c ping 127.0.0.1 -n 3&del "%WINDIR%\MICROS~1.NET\FRAMEW~1\V40~1.303\vbc.exe"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
