Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\svchost.exe
Заражает следующие исполняемые файлы
- <Имя диска съемного носителя>:\chromesetup_backup.exe
- <Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
- <Имя диска съемного носителя>:\wrar520_backup.exe
- <Имя диска съемного носителя>:\skypesetup_backup.exe
- <Имя диска съемного носителя>:\winmine_backup.exe
- <Имя диска съемного носителя>:\notepad_backup.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\bloc-notes.exe
- <Имя диска съемного носителя>:\chromesetup_backup.exe
- <Имя диска съемного носителя>:\rcx7.tmp
- <Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
- <Имя диска съемного носителя>:\rcxa.tmp
- <Имя диска съемного носителя>:\wrar520_backup.exe
- <Имя диска съемного носителя>:\rcxd.tmp
- <Имя диска съемного носителя>:\skypesetup_backup.exe
- <Имя диска съемного носителя>:\rcx10.tmp
- <Имя диска съемного носителя>:\winmine_backup.exe
- <Имя диска съемного носителя>:\rcx13.tmp
- <Имя диска съемного носителя>:\notepad_backup.exe
- <Имя диска съемного носителя>:\rcx16.tmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\wos.resources
- %TEMP%\msqdzyv.resources
- %TEMP%\windowsupdate.ico
- %TEMP%\res6.tmp
- %TEMP%\vbc5.tmp
- %TEMP%\1pfhdk-e.out
- %TEMP%\1pfhdk-e.cmdline
- %TEMP%\1pfhdk-e.0.vb
- %TEMP%\whatdafock.txt
- %TEMP%\teve.resources
- %TEMP%\vijkr.resources
- %ProgramFiles%\gum1.tmp\googleupdatesetup.exe
- %ProgramFiles%\gum1.tmp\goopdateres_zh-tw.dll
- %ProgramFiles%\gum1.tmp\goopdateres_zh-cn.dll
- %ProgramFiles%\gum1.tmp\goopdateres_vi.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ur.dll
- %ProgramFiles%\gum1.tmp\goopdateres_uk.dll
- %ProgramFiles%\gum1.tmp\goopdateres_tr.dll
- %ProgramFiles%\gum1.tmp\goopdateres_th.dll
- %ProgramFiles%\gum1.tmp\goopdateres_te.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ta.dll
- %ProgramFiles%\gum1.tmp\goopdateres_sw.dll
- %ProgramFiles%\gum1.tmp\goopdateres_sv.dll
- %ProgramFiles%\gum1.tmp\goopdateres_sr.dll
- %ProgramFiles%\gum1.tmp\goopdateres_sl.dll
- %ProgramFiles%\gum1.tmp\goopdateres_sk.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ru.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ro.dll
- %TEMP%\cnmhbrzc.resources
- %TEMP%\61lhace5.0.vb
- %TEMP%\61lhace5.cmdline
- %TEMP%\61lhace5.out
- %TEMP%\ff_gntak.out
- %TEMP%\ff_gntak.cmdline
- %TEMP%\ff_gntak.0.vb
- %TEMP%\suagkpnh.resources
- %TEMP%\fgbeixbl.resources
- %TEMP%\res12.tmp
- %TEMP%\vbc11.tmp
- %TEMP%\69jxwj2z.out
- %TEMP%\69jxwj2z.cmdline
- %TEMP%\69jxwj2z.0.vb
- %TEMP%\i.resources
- %TEMP%\kup.resources
- %TEMP%\resf.tmp
- %TEMP%\zcx_p-zi.out
- %TEMP%\vbce.tmp
- %TEMP%\zcx_p-zi.cmdline
- %TEMP%\zcx_p-zi.0.vb
- %TEMP%\wzh.resources
- %TEMP%\ekclfin.resources
- %TEMP%\resc.tmp
- %TEMP%\vbcb.tmp
- %TEMP%\6tde1mia.out
- %TEMP%\6tde1mia.cmdline
- %TEMP%\6tde1mia.0.vb
- %TEMP%\oofrxvtb.resources
- %TEMP%\lgzoum.resources
- %TEMP%\res9.tmp
- %TEMP%\vbc8.tmp
- %TEMP%\vbc14.tmp
- %ProgramFiles%\gum1.tmp\goopdateres_pt-pt.dll
- %ProgramFiles%\gum1.tmp\goopdateres_pt-br.dll
- %ProgramFiles%\gum1.tmp\goopdateres_pl.dll
- %ProgramFiles%\gum1.tmp\goopdateres_bg.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ar.dll
- %ProgramFiles%\gum1.tmp\goopdateres_am.dll
- %ProgramFiles%\gum1.tmp\googlecrashhandler64.exe
- %ProgramFiles%\gum1.tmp\psuser_64.dll
- %ProgramFiles%\gum1.tmp\psuser.dll
- %ProgramFiles%\gum1.tmp\psmachine_64.dll
- %ProgramFiles%\gum1.tmp\psmachine.dll
- %ProgramFiles%\gum1.tmp\googleupdatecomregistershell64.exe
- %ProgramFiles%\gum1.tmp\googleupdateondemand.exe
- %ProgramFiles%\gum1.tmp\googleupdatebroker.exe
- %ProgramFiles%\gum1.tmp\googleupdatehelper.msi
- %ProgramFiles%\gum1.tmp\npgoogleupdate3.dll
- %ProgramFiles%\gum1.tmp\goopdate.dll
- %ProgramFiles%\gum1.tmp\googlecrashhandler.exe
- %ProgramFiles%\gum1.tmp\googleupdate.exe
- %ProgramFiles%\gut2.tmp
- %TEMP%\tniklngd.exe
- %TEMP%\res4.tmp
- %TEMP%\vbc3.tmp
- %TEMP%\tniklngd.out
- %TEMP%\tniklngd.cmdline
- %TEMP%\tniklngd.0.vb
- %TEMP%\msnpsharp.dll
- %TEMP%\g762w.resources
- %TEMP%\svchost.exe
- %TEMP%\chromesetup.exe
- %ProgramFiles%\gum1.tmp\goopdateres_bn.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ca.dll
- %ProgramFiles%\gum1.tmp\goopdateres_cs.dll
- %ProgramFiles%\gum1.tmp\goopdateres_da.dll
- %ProgramFiles%\gum1.tmp\goopdateres_nl.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ms.dll
- %ProgramFiles%\gum1.tmp\goopdateres_mr.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ml.dll
- %ProgramFiles%\gum1.tmp\goopdateres_lv.dll
- %ProgramFiles%\gum1.tmp\goopdateres_lt.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ko.dll
- %ProgramFiles%\gum1.tmp\goopdateres_kn.dll
- %ProgramFiles%\gum1.tmp\goopdateres_ja.dll
- %ProgramFiles%\gum1.tmp\goopdateres_iw.dll
- %ProgramFiles%\gum1.tmp\goopdateres_it.dll
- %ProgramFiles%\gum1.tmp\goopdateres_is.dll
- %ProgramFiles%\gum1.tmp\goopdateres_id.dll
- %ProgramFiles%\gum1.tmp\goopdateres_hr.dll
- %ProgramFiles%\gum1.tmp\goopdateres_hu.dll
- %ProgramFiles%\gum1.tmp\goopdateres_hi.dll
- %ProgramFiles%\gum1.tmp\goopdateres_gu.dll
- %ProgramFiles%\gum1.tmp\goopdateres_fr.dll
- %ProgramFiles%\gum1.tmp\goopdateres_fil.dll
- %ProgramFiles%\gum1.tmp\goopdateres_fi.dll
- %ProgramFiles%\gum1.tmp\goopdateres_fa.dll
- %ProgramFiles%\gum1.tmp\goopdateres_et.dll
- %ProgramFiles%\gum1.tmp\goopdateres_es-419.dll
- %ProgramFiles%\gum1.tmp\goopdateres_es.dll
- %ProgramFiles%\gum1.tmp\goopdateres_en-gb.dll
- %ProgramFiles%\gum1.tmp\goopdateres_en.dll
- %ProgramFiles%\gum1.tmp\goopdateres_el.dll
- %ProgramFiles%\gum1.tmp\goopdateres_de.dll
- %ProgramFiles%\gum1.tmp\goopdateres_no.dll
- %TEMP%\res15.tmp
Удаляет следующие файлы
- %TEMP%\res4.tmp
- %TEMP%\oofrxvtb.resources
- <Имя диска съемного носителя>:\wrar520_backup.exe
- %TEMP%\resf.tmp
- %TEMP%\vbce.tmp
- %TEMP%\zcx_p-zi.out
- %TEMP%\zcx_p-zi.cmdline
- %TEMP%\zcx_p-zi.0.vb
- %TEMP%\ekclfin.resources
- %TEMP%\wzh.resources
- <Имя диска съемного носителя>:\skypesetup_backup.exe
- %TEMP%\res12.tmp
- %TEMP%\69jxwj2z.0.vb
- %TEMP%\suagkpnh.resources
- %TEMP%\69jxwj2z.cmdline
- %TEMP%\69jxwj2z.out
- %TEMP%\kup.resources
- %TEMP%\i.resources
- <Имя диска съемного носителя>:\winmine_backup.exe
- %TEMP%\res15.tmp
- %TEMP%\vbc14.tmp
- %TEMP%\ff_gntak.cmdline
- %TEMP%\ff_gntak.out
- %TEMP%\ff_gntak.0.vb
- %TEMP%\fgbeixbl.resources
- %TEMP%\lgzoum.resources
- %TEMP%\vbc11.tmp
- %TEMP%\6tde1mia.0.vb
- %TEMP%\teve.resources
- %TEMP%\vbc3.tmp
- %TEMP%\tniklngd.0.vb
- %TEMP%\tniklngd.out
- %TEMP%\tniklngd.cmdline
- %TEMP%\tniklngd.exe
- %TEMP%\res6.tmp
- %TEMP%\vbc5.tmp
- %TEMP%\1pfhdk-e.cmdline
- %TEMP%\1pfhdk-e.0.vb
- %TEMP%\1pfhdk-e.out
- %TEMP%\vijkr.resources
- <Имя диска съемного носителя>:\chromesetup_backup.exe
- %TEMP%\6tde1mia.cmdline
- %TEMP%\windowsupdate.ico
- %TEMP%\res9.tmp
- %TEMP%\vbc8.tmp
- %TEMP%\61lhace5.cmdline
- %TEMP%\61lhace5.0.vb
- %TEMP%\61lhace5.out
- %TEMP%\msqdzyv.resources
- %TEMP%\cnmhbrzc.resources
- <Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
- %TEMP%\resc.tmp
- %TEMP%\vbcb.tmp
- %TEMP%\6tde1mia.out
- <Имя диска съемного носителя>:\notepad_backup.exe
Подменяет следующие исполняемые файлы
- <Имя диска съемного носителя>:\chromesetup.exe
- <Имя диска съемного носителя>:\dotnetfx45_full_setup.exe
- <Имя диска съемного носителя>:\wrar520.exe
- <Имя диска съемного носителя>:\skypesetup.exe
- <Имя диска съемного носителя>:\winmine.exe
- <Имя диска съемного носителя>:\notepad.exe
Подменяет следующие файлы
- <Имя диска съемного носителя>:\chromesetup_backup.exe
- %TEMP%\windowsupdate.ico
- <Имя диска съемного носителя>:\dotnetfx45_full_setup_backup.exe
- <Имя диска съемного носителя>:\wrar520_backup.exe
- <Имя диска съемного носителя>:\skypesetup_backup.exe
- <Имя диска съемного носителя>:\winmine_backup.exe
- <Имя диска съемного носителя>:\notepad_backup.exe
Сетевая активность
Подключается к
- '17#.#3.169.14':80
UDP
- DNS ASK wp#d
- DNS ASK tools.google.com
Другое
Создает и запускает на исполнение
- '%TEMP%\chromesetup.exe'
- '%TEMP%\svchost.exe'
- '%ProgramFiles%\gum1.tmp\googleupdate.exe' /installsource taggedmi /install "appguid={8A69D345-D564-463C-AFF1-A69D9E530F96}&iid={3996D052-26B6-C178-E9E5-B86A7717C1CC}&lang=ru&browser=3&usagestats=0&appname=Google%20Chrome&needsadmin=pre...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES12.tmp" "%TEMP%\vbc11.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\69jxwj2z.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF.tmp" "%TEMP%\vbcE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zcx_p-zi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC.tmp" "%TEMP%\vbcB.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6tde1mia.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9.tmp" "%TEMP%\vbc8.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\61lhace5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6.tmp" "%TEMP%\vbc5.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\1pfhdk-e.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tniklngd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ff_gntak.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES15.tmp" "%TEMP%\vbc14.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tniklngd.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\vbc3.tmp"
- '%ProgramFiles%\google\update\googleupdate.exe' /handoff "appguid={8A69D345-D564-463C-AFF1-A69D9E530F96}&iid={3996D052-26B6-C178-E9E5-B86A7717C1CC}&lang=ru&browser=3&usagestats=0&appname=Google%20Chrome&needsadmin=prefers" /installsource tag...
- '%ProgramFiles%\google\update\googleupdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB2ZXJzaW9uPSIxLjMuMjUuMTEiIHNoZWxsX3ZlcnNpb249IjEuMy4yOC4xIiBpc21hY2hpbmU9IjEiIHNlc3Npb25pZD0iezEzMERGNzI...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\1pfhdk-e.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6.tmp" "%TEMP%\vbc5.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\61lhace5.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9.tmp" "%TEMP%\vbc8.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6tde1mia.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC.tmp" "%TEMP%\vbcB.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zcx_p-zi.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF.tmp" "%TEMP%\vbcE.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\69jxwj2z.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES12.tmp" "%TEMP%\vbc11.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ff_gntak.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES15.tmp" "%TEMP%\vbc14.tmp"
