Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\pre-setting 476ry.lnk
Изменения в файловой системе
Создает следующие файлы
- %WINDIR% update\sign231.txt
- %TEMP%\order_хч.vbs
- %WINDIR% update\blkfc\tik_jcblwr.txt
- %TEMP%\order_جقذر.vbs
- %WINDIR% update\blkfc\tik_vdxwfw.txt
- %TEMP%\order_وwu.vbs
- %WINDIR% update\blkfc\tik_mse.txt
- %TEMP%\order_صa.vbs
- %WINDIR% update\blkfc\tik_bksvjk.txt
- %TEMP%\order_guج.vbs
- %WINDIR% update\blkfc\tik_wxgxh.txt
- %TEMP%\order_еضاe.vbs
- %WINDIR% update\blkfc\tik_utttwfvo.txt
- %TEMP%\order_sузvъ.vbs
- %WINDIR% update\blkfc\tik_fjrs.txt
- %TEMP%\order_wjйء.vbs
- %WINDIR% update\blkfc\tik_okojcroh.txt
- %TEMP%\order_طogعwe.vbs
- %TEMP%\order_فhз.vbs
- %WINDIR% update\blkfc\tik_ykq.txt
- %WINDIR% update\blkfc\tik_fevdwu.txt
- %TEMP%\order_غmee.vbs
- %TEMP%\order_nشi.vbs
- %WINDIR% update\blkfc\tik_cenrcthd.txt
- %TEMP%\order_ерn.vbs
- %WINDIR% update\blkfc\tik_ngqrmg.txt
- %TEMP%\order_vطly.vbs
- %WINDIR% update\blkfc\tik_fgmbjv.txt
- %TEMP%\order_йпb.vbs
- %WINDIR% update\blkfc\tik_hxm.txt
- %WINDIR% update\blkfc\tik_srkhuny.txt
- %WINDIR% update\blkfc\tik_jjiyzq.txt
- %TEMP%\order_wкuох.vbs
- %WINDIR% update\blkfc\tik_yto.txt
- %TEMP%\order_зu.vbs
- %WINDIR% update\blkfc\tik_zjjvidfmn.txt
- %TEMP%\order_leосuة.vbs
- %WINDIR% update\blkfc\tik_ugoo.txt
- %TEMP%\order_غشrг.vbs
- %WINDIR% update\blkfc\tik_ffrpzmru.txt
- %WINDIR% update\blkfc\tik_uklnj.txt
- %TEMP%\order_جبdдmr.vbs
- %WINDIR% update\blkfc\tik_nvht.txt
- %WINDIR% update\blkfc\tik_bok.txt
- %TEMP%\order_زtخ.vbs
- %WINDIR% update\blkfc\tik_xgkmyf.txt
- %TEMP%\order_سъnй.vbs
- %WINDIR% update\blkfc\tik_ype.txt
- %TEMP%\order_zг.vbs
- %WINDIR% update\blkfc\tik_beiosdaeb.txt
- %WINDIR% update\blkfc\ref.txt
- %TEMP%\order_ييksк.vbs
- %WINDIR% update\blkfc\tik_lsly.txt
- %TEMP%\order_زf.vbs
- %WINDIR% update\blkfc\tik_ouqlqe.txt
- %TEMP%\order_чзy.vbs
- %WINDIR% update\blkfc\dwn_ixo.exe
- %WINDIR% update\blkfc\wbs.txt
- %WINDIR% update\wbs.txt
- %WINDIR% update\blkfc\tik_hffrjvnui.txt
- %TEMP%\order_vقь.vbs
- %TEMP%\order_цdتnء.vbs
- %WINDIR% update\blkfc\tik_ivx.txt
- %TEMP%\order_цاгq.vbs
- %TEMP%\order_sقиنгr.vbs
- %WINDIR% update\blkfc\tik_dzsvc.txt
- %TEMP%\order_xoف.vbs
- %WINDIR% update\blkfc\tik_cpo.txt
- %TEMP%\order_wtdр.vbs
- %WINDIR% update\blkfc\tik_dwtne.txt
- %TEMP%\order_зضщd.vbs
- %WINDIR% update\blkfc\tik_fqpu.txt
- %TEMP%\order_lص.vbs
- %WINDIR% update\blkfc\tik_zmn.txt
- %TEMP%\order_طredд.vbs
- %WINDIR% update\blkfc\tik_urykp.txt
- %TEMP%\order_яv.vbs
- %WINDIR% update\blkfc\tik_hxmgvfhbg.txt
- %TEMP%\order_bчمهر.vbs
- %WINDIR% update\blkfc\tik_lgbg.txt
- %TEMP%\order_oyп.vbs
- %WINDIR% update\blkfc\tik_xdpytsbiz.txt
- %TEMP%\order_nط.vbs
- %TEMP%\order_زшmcхш.vbs
Удаляет следующие файлы
- %WINDIR% update\blkfc\tik_lsly.txt
- %WINDIR% update\blkfc\tik_hxm.txt
- %WINDIR% update\blkfc\tik_yto.txt
- %WINDIR% update\blkfc\tik_ugoo.txt
- %WINDIR% update\blkfc\tik_fevdwu.txt
- %WINDIR% update\blkfc\tik_vdxwfw.txt
- %WINDIR% update\blkfc\tik_wxgxh.txt
- %WINDIR% update\blkfc\tik_fjrs.txt
- %WINDIR% update\blkfc\tik_ykq.txt
- %WINDIR% update\blkfc\tik_nvht.txt
- %WINDIR% update\blkfc\tik_cpo.txt
- %WINDIR% update\blkfc\tik_fqpu.txt
- %WINDIR% update\blkfc\tik_urykp.txt
- %WINDIR% update\blkfc\tik_lgbg.txt
- %WINDIR% update\blkfc\tik_ivx.txt
- %WINDIR% update\blkfc\tik_bok.txt
- %WINDIR% update\blkfc\ref.txt
- %WINDIR% update\blkfc\tik_ype.txt
- %WINDIR% update\blkfc\tik_ngqrmg.txt
- %WINDIR% update\blkfc\tik_zmn.txt
Перемещает следующие файлы
- %WINDIR% update\blkfc\dwn_ixo.exe в %WINDIR% update\blkfc\dwn_hi.exe
Подменяет следующие файлы
- %WINDIR% update\blkfc\ref.txt
Сетевая активность
TCP
Запросы HTTP GET
- http://pa###bin.com/download.php?i=########
- http://pa###bin.com/download/DDD0rAXN
UDP
- DNS ASK google.com
- DNS ASK pa###bin.com
Другое
Создает и запускает на исполнение
- '%WINDIR% update\blkfc\dwn_ixo.exe'
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_طoGعwE.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Wjйء.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_SузVъ.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_еضاe.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_guج.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_صa.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_وWu.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_جقذر.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_غMEE.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_nشi.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_غشRг.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_leосuة.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_зU.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Wкuох.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_lص.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_йпB.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_vطLy.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ерn.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_فhз.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_хч.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_جبDдmR.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_SقиنгR.vbs"
- '%WINDIR% update\blkfc\dwn_hi.exe'
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_чзy.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_زf.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ييKsк.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Zг.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_سъnй.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_زTخ.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_цاгQ.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_زшMcхш.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_XOف.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_oyп.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_bчمهر.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_яv.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_طREdд.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_nط.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_зضщD.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_WtDр.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Vقь.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_цDتNء.vbs"
- '<SYSTEM32>\ping.exe' -n 1 www.google.com' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\ping.exe' -n 1 www.google.com
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ذyy.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_fجRع.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_عكص.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_fkGx.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_tаFط.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_فن.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Hwh.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Lي.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_يتt.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ьvحء.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_NY.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ьHء.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_пHхhd.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_CTوK.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_dءцقsf.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_رу.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_JفOوo.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_Qص.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_еحG.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ыWь.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_ZJيVئ.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\order_yфH.vbs"
