Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd3dx32' = '%APPDATA%\Media\System.lnk'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\bkphst32.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\winlog.lnk
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\media\iwo2wxt0c6irfonegdgb.exe
- %TEMP%\vtr2eccyjkr.tmp
- %TEMP%\dclib\pluginsmanager.dclib
- %TEMP%\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
- %TEMP%\dclib\antivm.dclib
- %TEMP%\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
- %APPDATA%\media\winlog.lnk
- %HOMEPATH%\pictures\vmcheck32.dll
- %HOMEPATH%\pictures\bkphst32.lnk
- %HOMEPATH%\pictures\bkphst32.exe
- %APPDATA%\media\system.lnk
- %APPDATA%\media\system.vbe
- %APPDATA%\media\fontreview.exe
- %APPDATA%\media\vmcheck32.dll
- %APPDATA%\media\pry56a3kv4mfbxxsmkpy40d4mjolay.bat
- %APPDATA%\media\mos
- %APPDATA%\media\msg.vbs
- %APPDATA%\media\e6ee5674bb9446c78bbc5729af6e2c28.exe
- %APPDATA%\media\dclib\pluginsmanager.dclib
- %APPDATA%\media\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
- %APPDATA%\media\dclib\antivm.dclib
- %APPDATA%\media\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
- %APPDATA%\media\8neo5d3dmtimikgfod7jfqpnoh7twy.bat
- %APPDATA%\media\jzpq5p9tbsberse9mxisladt2hnpap.vbs
- %TEMP%\wszujfcbcj3.tmp
- %TEMP%\qf2lbt4du4g.tmp
Удаляет следующие файлы
- %TEMP%\vtr2eccyjkr.tmp
- %TEMP%\qf2lbt4du4g.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://17#.#2.32.249/enixmnivzjdc5b8k34zdy7kwpn5vq096axr8kpdrdyiuklo3h/rqjvo76cw8/a394ce5f9eee166b647b8e73c2ddeaaed1fa5e0b.php?da#########
- http://17#.#2.32.249/enixmnivzjdc5b8k34zdy7kwpn5vq096axr8kpdrdyiuklo3h/rqjvo76cw8/6z6uqe9dm1/2efd859e8069b87ce9ab98c3c1bd072d.php?ty#############################################################...
- http://17#.#2.32.249/enixmnivzjdc5b8k34zdy7kwpn5vq096axr8kpdrdyiuklo3h/rqjvo76cw8/6z6uqe9dm1/96a5789b3e10882bb256316766b9ab751d9020ae.42433044f5aece1b61763b4664ce9bec
- http://17#.#2.32.249/enixmnivzjdc5b8k34zdy7kwpn5vq096axr8kpdrdyiuklo3h/rqjvo76cw8/6z6uqe9dm1/96a5789b3e10882bb256316766b9ab751d9020ae.22dba327af00bdefeb9f8847400bba18
- http://ip##fo.io/ip
- http://17#.#2.32.249/enixmnivzjdc5b8k34zdy7kwpn5vq096axr8kpdrdyiuklo3h/rqjvo76cw8/6z6uqe9dm1/96a5789b3e10882bb256316766b9ab751d9020ae.comm
UDP
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Media\jzpQ5p9TbsBERSe9mXIsLAdt2HNPAP.vbs"
- '%APPDATA%\media\iwo2wxt0c6irfonegdgb.exe' -pa37b13245b98dd5a60ed6d49424aa7315cfbbb64
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Media\System.vbe"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Media\msg.vbs"
- '%APPDATA%\media\e6ee5674bb9446c78bbc5729af6e2c28.exe'
- '%APPDATA%\media\fontreview.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Media\8nEO5d3DMtimIKgFoD7JfqPNOh7TwY.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Media\Pry56A3KV4mFbXXSMkPY40d4MjoLaY.bat" "' (со скрытым окном)
- '%APPDATA%\media\e6ee5674bb9446c78bbc5729af6e2c28.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Media\8nEO5d3DMtimIKgFoD7JfqPNOh7TwY.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Media\Pry56A3KV4mFbXXSMkPY40d4MjoLaY.bat" "
