Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\7d1cf4eb-fa98-5e02-b3e5eb0306fc55c5
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\opu7dlio.0.cs
- %TEMP%\opu7dlio.cmdline
- %TEMP%\opu7dlio.out
- %TEMP%\cscff37.tmp
- %TEMP%\resff47.tmp
- %TEMP%\opu7dlio.dll
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- <LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %TEMP%\resff47.tmp
- %TEMP%\cscff37.tmp
- %TEMP%\opu7dlio.dll
- %TEMP%\opu7dlio.cmdline
- %TEMP%\opu7dlio.out
- %TEMP%\opu7dlio.0.cs
- %TEMP%\opu7dlio.pdb
Сетевая активность
Подключается к
- '5.###.86.132':8080
- '81.#.10.251':443
- '37.##7.20.59':443
- '62.##0.254.132':443
- '10#.#92.5.248':443
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\opu7dlio.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFF47.tmp" "%TEMP%\CSCFF37.tmp"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand VwByAGkAdABlAC0ATwB1AHQAcAB1AHQAIAAiADMANgBlAGUAMAAyADAAOQBlAGEAIgA=' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand JABJAEwAbAByADEAbgA2AFgARQAwACAAPQAgACIANwBkADEAYwBmADQAZQBiAC0AZgBhADkAOAAtADUAZQAwADIALQBiADMAZQA1AGUAYgAwADMAMAA2AGYAYwA1ADUAYwA1ACIAOwAkAE4AaABOAGQAbABEAHcAIAA9ACAAIgBKAEEAQ...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\opu7dlio.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFF47.tmp" "%TEMP%\CSCFF37.tmp"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand VwByAGkAdABlAC0ATwB1AHQAcAB1AHQAIAAiADMANgBlAGUAMAAyADAAOQBlAGEAIgA=
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand JABJAEwAbAByADEAbgA2AFgARQAwACAAPQAgACIANwBkADEAYwBmADQAZQBiAC0AZgBhADkAOAAtADUAZQAwADIALQBiADMAZQA1AGUAYgAwADMAMAA2AGYAYwA1ADUAYwA1ACIAOwAkAE4AaABOAGQAbABEAHcAIAA9ACAAIgBKAEEAQ...
