Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Synaptics Pointing Device Driver' = '%PROGRAMDATA%\Synaptics\Synaptics.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'b925642009342817e17b661576ab814e' = '"%TEMP%\._cache_svchost.exe" ..'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'b925642009342817e17b661576ab814e' = '"%TEMP%\._cache_svchost.exe" ..'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\b925642009342817e17b661576ab814e.exe
Заражает следующие исполняемые файлы
- %HOMEPATH%\desktop\calc.exe
- %HOMEPATH%\desktop\notepad.exe
- %HOMEPATH%\downloads\chromesetup.exe
- %HOMEPATH%\downloads\icq_rfrset.exe
- %HOMEPATH%\downloads\k-lite_codec_pack_1110_mega.exe
- %HOMEPATH%\downloads\k-lite_codec_pack_1110_mega_dlm.exe
- %HOMEPATH%\downloads\magent_rfrset.exe
- %HOMEPATH%\downloads\mirc741.exe
- %HOMEPATH%\downloads\opera_ni_stable.exe
- %HOMEPATH%\downloads\pidgin-2.10.11.exe
- %HOMEPATH%\downloads\steamsetup.exe
- %HOMEPATH%\downloads\thunderbird setup 31.6.0.exe
- %HOMEPATH%\downloads\winamp5666_full_all.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\svchost.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\._cache_svchost.exe" "._cache_svchost.exe" ENABLE
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Win10pcap.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dll.exe
- %TEMP%\rcxb1d4.tmp
- %TEMP%\dbaqc1iw.exe
- %TEMP%\rcxbc73.tmp
- %TEMP%\dbaqc1iw.ico
- %TEMP%\rcxc156.tmp
- %TEMP%\4ye6jcv7.exe
- %TEMP%\rcxc8ca.tmp
- %TEMP%\4ye6jcv7.ico
- %TEMP%\rcxc948.tmp
- %TEMP%\ysifgf6t.exe
- %TEMP%\rcxca43.tmp
- %TEMP%\ysifgf6t.ico
- %TEMP%\rcxca92.tmp
- %TEMP%\r81varfy.exe
- %TEMP%\rcxcdbf.tmp
- %TEMP%\r81varfy.ico
- %TEMP%\rcxcfc4.tmp
- %TEMP%\xyartics.exe
- %TEMP%\rcxd265.tmp
- %TEMP%\xyartics.ico
- %TEMP%\rcxd2c3.tmp
- %TEMP%\2ffubxq5.exe
- %TEMP%\rcxdb02.tmp
- %TEMP%\2ffubxq5.ico
- %TEMP%\rcxe16b.tmp
- %TEMP%\45uw9jaf.exe
- %TEMP%\rcxef76.tmp
- %TEMP%\pkgxhicx.ico
- %TEMP%\45uw9jaf.ico
- %TEMP%\rcxb184.tmp
- %TEMP%\rcxa7a0.tmp
- %TEMP%\svchost.exe
- %TEMP%\._cache_svchost.exe
- %PROGRAMDATA%\synaptics\synaptics.exe
- %PROGRAMDATA%\synaptics\rcx58cb.tmp
- %TEMP%\gqdcrl1k.exe
- %TEMP%\rcx5d5f.tmp
- %TEMP%\gqdcrl1k.ico
- %TEMP%\rcx5dbe.tmp
- %TEMP%\h7hy49xp.exe
- %TEMP%\rcx5e0d.tmp
- %TEMP%\h7hy49xp.ico
- %TEMP%\rcx5e4d.tmp
- %TEMP%\in1elesy.exe
- %TEMP%\rcx5ecb.tmp
- %TEMP%\in1elesy.ico
- %TEMP%\rcx5f1a.tmp
- %TEMP%\q2gjjvhx.exe
- %TEMP%\rcx64e7.tmp
- %TEMP%\q2gjjvhx.ico
- %TEMP%\rcx6a18.tmp
- %TEMP%\sv92mvch.exe
- %TEMP%\rcx7e7c.tmp
- C:\svchost.exe
- C:\autorun.inf
- D:\svchost.exe
- D:\autorun.inf
- %TEMP%\sv92mvch.ico
- %TEMP%\pkgxhicx.exe
- %TEMP%\rcxf265.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\._cache_svchost.exe
- %PROGRAMDATA%\synaptics\synaptics.exe
- C:\svchost.exe
- C:\autorun.inf
- D:\svchost.exe
- D:\autorun.inf
- <Имя диска съемного носителя>:\svchost.exe
- <Имя диска съемного носителя>:\autorun.inf
Удаляет следующие файлы
- %TEMP%\gqdcrl1k.exe
- %TEMP%\2ffubxq5.ico
- %TEMP%\2ffubxq5.exe
- %TEMP%\xyartics.ico
- %TEMP%\xyartics.exe
- %TEMP%\r81varfy.ico
- %TEMP%\r81varfy.exe
- %TEMP%\ysifgf6t.ico
- %TEMP%\ysifgf6t.exe
- %TEMP%\4ye6jcv7.ico
- %TEMP%\4ye6jcv7.exe
- %TEMP%\dbaqc1iw.ico
- %TEMP%\dbaqc1iw.exe
- %TEMP%\pkgxhicx.ico
- %TEMP%\pkgxhicx.exe
- %TEMP%\sv92mvch.ico
- %TEMP%\sv92mvch.exe
- %TEMP%\q2gjjvhx.ico
- %TEMP%\q2gjjvhx.exe
- %TEMP%\in1elesy.ico
- %TEMP%\in1elesy.exe
- %TEMP%\h7hy49xp.ico
- %TEMP%\h7hy49xp.exe
- %TEMP%\gqdcrl1k.ico
- %TEMP%\45uw9jaf.exe
- %TEMP%\45uw9jaf.ico
Перемещает следующие файлы
- %PROGRAMDATA%\synaptics\rcx58cb.tmp в %PROGRAMDATA%\synaptics\synaptics.exe
- %TEMP%\rcxe16b.tmp в %TEMP%\2ffubxq5.exe
- %TEMP%\rcxdb02.tmp в %TEMP%\2ffubxq5.exe
- %TEMP%\rcxd2c3.tmp в %TEMP%\xyartics.exe
- %TEMP%\rcxd265.tmp в %TEMP%\xyartics.exe
- %TEMP%\rcxcfc4.tmp в %TEMP%\r81varfy.exe
- %TEMP%\rcxcdbf.tmp в %TEMP%\r81varfy.exe
- %TEMP%\rcxca92.tmp в %TEMP%\ysifgf6t.exe
- %TEMP%\rcxca43.tmp в %TEMP%\ysifgf6t.exe
- %TEMP%\rcxc948.tmp в %TEMP%\4ye6jcv7.exe
- %TEMP%\rcxc8ca.tmp в %TEMP%\4ye6jcv7.exe
- %TEMP%\rcxc156.tmp в %TEMP%\dbaqc1iw.exe
- %TEMP%\rcxef76.tmp в %TEMP%\45uw9jaf.exe
- %TEMP%\rcxbc73.tmp в %TEMP%\dbaqc1iw.exe
- %TEMP%\rcxb184.tmp в %TEMP%\pkgxhicx.exe
- %TEMP%\rcxa7a0.tmp в %TEMP%\sv92mvch.exe
- %TEMP%\rcx7e7c.tmp в %TEMP%\sv92mvch.exe
- %TEMP%\rcx6a18.tmp в %TEMP%\q2gjjvhx.exe
- %TEMP%\rcx64e7.tmp в %TEMP%\q2gjjvhx.exe
- %TEMP%\rcx5f1a.tmp в %TEMP%\in1elesy.exe
- %TEMP%\rcx5ecb.tmp в %TEMP%\in1elesy.exe
- %TEMP%\rcx5e4d.tmp в %TEMP%\h7hy49xp.exe
- %TEMP%\rcx5e0d.tmp в %TEMP%\h7hy49xp.exe
- %TEMP%\rcx5dbe.tmp в %TEMP%\gqdcrl1k.exe
- %TEMP%\rcx5d5f.tmp в %TEMP%\gqdcrl1k.exe
- %TEMP%\rcxb1d4.tmp в %TEMP%\pkgxhicx.exe
- %TEMP%\rcxf265.tmp в %TEMP%\45uw9jaf.exe
Сетевая активность
Подключается к
- 'xr##.mooo.com':1199
TCP
Запросы HTTP GET
- http://fr####s.afraid.org/api/?ac###########################################################
UDP
- DNS ASK za####h.zapto.org
- DNS ASK xr##.mooo.com
- DNS ASK fr####s.afraid.org
Другое
Ищет следующие окна
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\dll.exe'
- '%TEMP%\svchost.exe'
- '%TEMP%\._cache_svchost.exe'
- '%PROGRAMDATA%\synaptics\synaptics.exe' InjUpdate
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\._cache_svchost.exe" "._cache_svchost.exe" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Win10pcap.exe' (со скрытым окном)
