Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDrive' = '"C:\Users\user\AppData\Local\Microsoft\OneDrive\OneDrive.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDrive' = '"C:\Users\user\AppData\Local\Microsoft\OneDrive\OneDrive.exe"'
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\wpmggjxqrelgjyicdzjfuqpeiaiidbbibtzzmzwy.bat
- nul
- C:\users\user\appdata\local\microsoft\onedrive\onedrive.exe
- %TEMP%\bgfhxufjikqmvdqgvbvzaqciwrtcmwfnapryielh.bat
- %TEMP%\cmthwvewvhwanubkwwzhxuteznhgvyixzeqgziar.bat
- %TEMP%\fztwuasvroneuqrszuzutubmypudaeatprwxezjr.bat
- %TEMP%\jvhshrqhpkvcgoyqwdbwvoreltfamoyilftqypfq.bat
- %TEMP%\rgtqsheirpukwrxgrwrnmhpmxvtajeamktbdcmnz.bat
- %TEMP%\vkccarxcaiwhamsidmshzkmsvqkjdrwhwuuqrhno.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\wpmggjxqrelgjyicdzjfuqpeiaiidbbibtzzmzwy.bat
- %TEMP%\bgfhxufjikqmvdqgvbvzaqciwrtcmwfnapryielh.bat
- %TEMP%\cmthwvewvhwanubkwwzhxuteznhgvyixzeqgziar.bat
- %TEMP%\fztwuasvroneuqrszuzutubmypudaeatprwxezjr.bat
- %TEMP%\jvhshrqhpkvcgoyqwdbwvoreltfamoyilftqypfq.bat
- %TEMP%\rgtqsheirpukwrxgrwrnmhpmxvtajeamktbdcmnz.bat
- %TEMP%\vkccarxcaiwhamsidmshzkmsvqkjdrwhwuuqrhno.bat
Удаляет следующие файлы
- %TEMP%\bgfhxufjikqmvdqgvbvzaqciwrtcmwfnapryielh.bat
- %TEMP%\fztwuasvroneuqrszuzutubmypudaeatprwxezjr.bat
Перемещает следующие файлы
- C:\users\user\appdata\local\microsoft\onedrive\onedrive.exe в C:\users\user\appdata\local\microsoft\onedrive\onedrive updater.exe
Подменяет следующие файлы
- %TEMP%\bgfhxufjikqmvdqgvbvzaqciwrtcmwfnapryielh.bat
- C:\users\user\appdata\local\microsoft\onedrive\onedrive.exe
- %TEMP%\fztwuasvroneuqrszuzutubmypudaeatprwxezjr.bat
Сетевая активность
Подключается к
- '12#.#8.80.77':98
TCP
Запросы HTTP GET
- http://45.##9.84.159/bdver.php
Другое
Создает и запускает на исполнение
- 'C:\users\user\appdata\local\microsoft\onedrive\onedrive.exe'
- '<SYSTEM32>\cmd.exe' /c %TEMP%\wpmggJXQReLgjYIcdZJfUqpEiaiidbbIbtZzMZwy.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\bGFHxUFJikQmvDQGVbvZAQCIWRtCMwfNapRYielH.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\cMThWvEwVHWAnuBkWwzhXUTeZnHgVYIxZEQgZiaR.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\FzTWuasVRoNEuQrszUZUtuBMYpudaeaTPRWxEZjR.bat' (со скрытым окном)
- 'C:\users\user\appdata\local\microsoft\onedrive\onedrive.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\JvhshRQhpkvCGoyQwDBWVOREltFamoyiLfTqypFQ.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\RgtqshEirpUKWRxGRwRNMhPmxvtajeAmKtbdcMNz.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\vKccARXCaiWHAMSIDMshZkMSvqKjdRWhwUUqRHNO.bat' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %TEMP%\wpmggJXQReLgjYIcdZJfUqpEiaiidbbIbtZzMZwy.bat
- '<SYSTEM32>\find.exe' "3728"
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\cmd.exe' /c %TEMP%\bGFHxUFJikQmvDQGVbvZAQCIWRtCMwfNapRYielH.bat
- '<SYSTEM32>\find.exe' "3900"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\cMThWvEwVHWAnuBkWwzhXUTeZnHgVYIxZEQgZiaR.bat
- '<SYSTEM32>\find.exe' "3852"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\FzTWuasVRoNEuQrszUZUtuBMYpudaeaTPRWxEZjR.bat
- '<SYSTEM32>\find.exe' "4036"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\JvhshRQhpkvCGoyQwDBWVOREltFamoyiLfTqypFQ.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\RgtqshEirpUKWRxGRwRNMhPmxvtajeAmKtbdcMNz.bat
- '<SYSTEM32>\find.exe' "1388"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\vKccARXCaiWHAMSIDMshZkMSvqKjdRWhwUUqRHNO.bat
- '<SYSTEM32>\find.exe' "1004"
