Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'mbot_id_014010073' = '"%ProgramFiles(x86)%\mbot_id_014010073\mbot_id_014010073.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'upmbot_id_014010073.exe' = '<LS_APPDATA>\mbot_id_014010073\upmbot_id_014010073.exe -runonce'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im upmbot_id_014010073.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mbot_id_014010073.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mybestofferstoday_widget.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-udf9g.tmp\<Имя файла>.tmp
- %TEMP%\is-h99f6.tmp\mybestofferstoday_widget.exe
- %ProgramFiles(x86)%\mbot_id_014010073\mbot_id_014010073.exe
- %ProgramFiles(x86)%\mbot_id_014010073\predm.exe
- <LS_APPDATA>\mbot_id_014010073\upmbot_id_014010073.exe
- %ProgramFiles(x86)%\mbot_id_014010073\mybestofferstoday_widget.exe
- %ProgramFiles(x86)%\mbot_id_014010073\is-n26h6.tmp
- %TEMP%\is-h99f6.tmp\is-7r0oc.tmp
- %TEMP%\is-h99f6.tmp\is-p9oek.tmp
- %TEMP%\is-h99f6.tmp\is-fatp2.tmp
- %TEMP%\is-h99f6.tmp\is-l9alg.tmp
- %TEMP%\is-h99f6.tmp\is-8cecu.tmp
- %PROGRAMDATA%\microsoft\windows\start menu\programs\mybestofferstoday\mybestofferstoday.lnk
- %ProgramFiles(x86)%\mbot_id_014010073\unins000.msg
- %ProgramFiles(x86)%\mbot_id_014010073\unins000.dat
- <LS_APPDATA>\mbot_id_014010073\mbot_id_014010073\1.10\cnf.cyl
- %TEMP%\is-h99f6.tmp\predm.exe
- <LS_APPDATA>\mbot_id_014010073\upmbot_id_014010073.cyl
- %TEMP%\is-h99f6.tmp\upmbot_id_014010073.exe
- %TEMP%\is-h99f6.tmp\mybestofferstoday_widget.7z
- %TEMP%\is-m7o7h.tmp\_isetup\_setup64.tmp
- %TEMP%\is-m7o7h.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-m7o7h.tmp\encrypt.exe
- %TEMP%\is-m7o7h.tmp\setup_mbot_id_executable.bin
- %TEMP%\is-m7o7h.tmp\setup_mbot_id.exe
- %TEMP%\is-ad0ld.tmp\setup_mbot_id.tmp
- %TEMP%\is-h99f6.tmp\_isetup\_setup64.tmp
- %TEMP%\is-h99f6.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-h99f6.tmp\itdownload.dll
- %TEMP%\is-h99f6.tmp\ex.bat
- %TEMP%\is-h99f6.tmp\av.txt
- %TEMP%\is-h99f6.tmp\encrypt.exe
- %TEMP%\is-h99f6.tmp\mbot_id_014010073.7z
- %TEMP%\is-h99f6.tmp\predm.7z
- %TEMP%\is-h99f6.tmp\upmbot_id_014010073.7z
- %TEMP%\is-h99f6.tmp\mbot_id_014010073.exe
- %TEMP%\is-h99f6.tmp\checkproc.cmd
Удаляет следующие файлы
- %TEMP%\is-h99f6.tmp\av.txt
- %TEMP%\is-m7o7h.tmp\_isetup\_setup64.tmp
- %TEMP%\is-m7o7h.tmp\setup_mbot_id_executable.bin
- %TEMP%\is-m7o7h.tmp\setup_mbot_id.exe
- %TEMP%\is-m7o7h.tmp\encrypt.exe
- %TEMP%\is-ad0ld.tmp\setup_mbot_id.tmp
- %TEMP%\is-h99f6.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-h99f6.tmp\_isetup\_setup64.tmp
- %TEMP%\is-h99f6.tmp\upmbot_id_014010073.exe
- %TEMP%\is-h99f6.tmp\predm.exe
- %TEMP%\is-h99f6.tmp\mybestofferstoday_widget.exe
- %TEMP%\is-h99f6.tmp\mbot_id_014010073.exe
- %TEMP%\is-h99f6.tmp\itdownload.dll
- %TEMP%\is-h99f6.tmp\checkproc.cmd
- %TEMP%\is-h99f6.tmp\mybestofferstoday_widget.7z
- %TEMP%\is-h99f6.tmp\upmbot_id_014010073.7z
- %TEMP%\is-h99f6.tmp\predm.7z
- %TEMP%\is-h99f6.tmp\mbot_id_014010073.7z
- %TEMP%\is-h99f6.tmp\encrypt.exe
- %TEMP%\is-h99f6.tmp\ex.bat
- %TEMP%\is-m7o7h.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-udf9g.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\mbot_id_014010073\is-n26h6.tmp в %ProgramFiles(x86)%\mbot_id_014010073\unins000.exe
Подменяет следующие файлы
- %TEMP%\is-h99f6.tmp\encrypt.exe
- %TEMP%\is-h99f6.tmp\mbot_id_014010073.7z
- %TEMP%\is-h99f6.tmp\upmbot_id_014010073.7z
- %TEMP%\is-h99f6.tmp\predm.7z
- %TEMP%\is-h99f6.tmp\mybestofferstoday_widget.7z
- %TEMP%\is-h99f6.tmp\checkproc.cmd
Сетевая активность
UDP
- DNS ASK pr##.eorezo.com
- DNS ASK ad#.##giedepub.com
- DNS ASK ad#.#####youbutyoucantry.com
- DNS ASK up#.###kyforever.com
- DNS ASK pr##.#####dmeandmeandyouhihi.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-udf9g.tmp\<Имя файла>.tmp' /SL5="$8023E,5185876,56832,<Полный путь к файлу>"
- '%TEMP%\is-m7o7h.tmp\encrypt.exe' -t7z -p34ijdrfjn9isdfaiojdfvjiogbrjnjdfi89843oiujherg98i0uer5tjiuhnovfdjiote498043tr09843j0gvrdjn x setup_mbot_id_executable.bin
- '%ProgramFiles(x86)%\mbot_id_014010073\mbot_id_014010073.exe'
- '%TEMP%\is-m7o7h.tmp\setup_mbot_id.exe' /VERYSILENT
- '%TEMP%\is-ad0ld.tmp\setup_mbot_id.tmp' /SL5="$90216,4562285,56832,%TEMP%\is-M7O7H.tmp\setup_mbot_id.exe" /VERYSILENT
- '<LS_APPDATA>\mbot_id_014010073\upmbot_id_014010073.exe' -runhelper
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\mybestofferstoday_widget.7z -p2720152908182710181529 -t7z
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\mbot_id_014010073.7z -p2720152908182710181529 -t7z
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\upmbot_id_014010073.7z -p2720152908182710181529 -t7z
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\predm.7z -p2720152908182710181529 -t7z
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\upmbot_id_014010073.7z -p2720152908182710181529 -t7z' (со скрытым окном)
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\mybestofferstoday_widget.7z -p2720152908182710181529 -t7z' (со скрытым окном)
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\predm.7z -p2720152908182710181529 -t7z' (со скрытым окном)
- '%TEMP%\is-h99f6.tmp\encrypt.exe' x %TEMP%\is-H99F6.tmp\mbot_id_014010073.7z -p2720152908182710181529 -t7z' (со скрытым окном)
- '<LS_APPDATA>\mbot_id_014010073\upmbot_id_014010073.exe' -runhelper' (со скрытым окном)
- '%TEMP%\is-m7o7h.tmp\encrypt.exe' -t7z -p34ijdrfjn9isdfaiojdfvjiogbrjnjdfi89843oiujherg98i0uer5tjiuhnovfdjiote498043tr09843j0gvrdjn x setup_mbot_id_executable.bin' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im mbot_id_014010073.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im upmbot_id_014010073.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-H99F6.tmp\ex.bat""' (со скрытым окном)
- '%ProgramFiles(x86)%\mbot_id_014010073\mbot_id_014010073.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im mybestofferstoday_widget.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ""CheckProc.cmd""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-H99F6.tmp\ex.bat""
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -NoProfile -NoLogo -Command "& {$avlist = @(); $os = Get-WmiObject Win32_OperatingSystem; if ($os.ProductType -eq 3) {Write-Host \"ServerOS|0\";} elseif ($os.Version -like \"5...
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im upmbot_id_014010073.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im mbot_id_014010073.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im mybestofferstoday_widget.exe
- '%WINDIR%\syswow64\cmd.exe' /C ""CheckProc.cmd""
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /FI "IMAGENAME eq mbot_id_014010073.exe" /FO CSV
- '%WINDIR%\syswow64\tasklist.exe' /FI "IMAGENAME eq mbot_id_014010073.exe" /FO CSV
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /FI "IMAGENAME eq upmbot_id_014010073.exe" /FO CSV
- '%WINDIR%\syswow64\tasklist.exe' /FI "IMAGENAME eq upmbot_id_014010073.exe" /FO CSV
