Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\sppextcomtel.lnk
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' "%PROGRAMDATA%\systemidleperf\systemidleperf.vbs"
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c wscript "%PROGRAMDATA%\systemidleperf\systemidleperf.vbs" & ""%WINDIR%\Microsoft.NET\Framework\v3.5\csc.exe"" /t:exe /out:%PROGRAMDATA%\systemidleperf\Realtime.scr %PROGRAMDATA%\systemidlepe...
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\systemidleperf\systemidleperf.zip
- %TEMP%\_mei29242\pyexpat.pyd
- %TEMP%\_mei29242\win32trace.pyd
- %TEMP%\_mei29242\win32com.shell.shell.pyd
- %TEMP%\_mei29242\win32api.pyd
- %TEMP%\_mei29242\_socket.pyd
- %TEMP%\_mei29242\python27.dll
- %TEMP%\_mei29242\crypt32.dll
- %TEMP%\_mei29242\microsoft.vc90.mfc.manifest
- %TEMP%\_mei29242\mfc90.dll
- %TEMP%\_mei29242\mfc90u.dll
- %TEMP%\_mei29242\mfcm90.dll
- %TEMP%\_mei29242\mfcm90u.dll
- %TEMP%\_mei29242\kernelbase.dll
- %TEMP%\_mei29242\msasn1.dll
- %TEMP%\_mei29242\x64i.exe.manifest
- %PROGRAMDATA%\sppextcomtel\sppextcomtel.scr
- %TEMP%\_mei29242\support\gen_py\dicts.dat
- %TEMP%\p2ehthero0pasth3end.dll
- %TEMP%\meloy.post.dll
- %TEMP%\_mei29242\_ctypes.pyd
- %TEMP%\m1ssh0upuuchcukxanevpozlu.dll
- %TEMP%\_mei29242\kernel32.dll
- %TEMP%\_mei29242\pywintypes27.dll
- %PROGRAMDATA%\systemidleperf\systemidleperf.vbs
- %PROGRAMDATA%\systemidleperf\realtime.cs
- %HOMEPATH%\documents\vbb693.tmp
- %ProgramFiles%\system~1\aeinv.dll
- %ProgramFiles%\system~1\aelupsvc.dll
- %ProgramFiles%\system~1\windproc.scr
- %ProgramFiles%\system~1\windprocx.scr
- %PROGRAMDATA%\systemidleperf\cscceac.tmp
- %TEMP%\rescead.tmp
- %PROGRAMDATA%\systemidleperf\realtime.scr
- %PROGRAMDATA%\systemidleperf\x64i.scr
- %TEMP%\_mei29242\_win32sysloader.pyd
- %TEMP%\_mei29242\win32pipe.pyd
- %TEMP%\_mei29242\select.pyd
- %TEMP%\_mei29242\unicodedata.pyd
- %TEMP%\_mei29242\_hashlib.pyd
- %TEMP%\_mei29242\bz2.pyd
- %TEMP%\_mei29242\_ssl.pyd
- %TEMP%\_mei29242\win32ui.pyd
- %TEMP%\_mei29242\pythoncom27.dll
- %TEMP%\winpotter.dll
Удаляет следующие файлы
- %TEMP%\vbb692.tmp
- %TEMP%\_mei29242\_socket.pyd
- %TEMP%\_mei29242\_hashlib.pyd
- %TEMP%\_mei29242\_ctypes.pyd
- %TEMP%\_mei29242\x64i.exe.manifest
- %TEMP%\_mei29242\win32ui.pyd
- %TEMP%\_mei29242\win32trace.pyd
- %TEMP%\_mei29242\win32pipe.pyd
- %TEMP%\_mei29242\win32com.shell.shell.pyd
- %TEMP%\_mei29242\win32api.pyd
- %TEMP%\_mei29242\unicodedata.pyd
- %TEMP%\_mei29242\support\gen_py\dicts.dat
- %TEMP%\_mei29242\select.pyd
- %TEMP%\_mei29242\pywintypes27.dll
- %TEMP%\_mei29242\_ssl.pyd
- %TEMP%\_mei29242\pythoncom27.dll
- %TEMP%\_mei29242\pyexpat.pyd
- %TEMP%\_mei29242\msasn1.dll
- %TEMP%\_mei29242\microsoft.vc90.mfc.manifest
- %TEMP%\_mei29242\mfcm90u.dll
- %TEMP%\_mei29242\mfcm90.dll
- %TEMP%\_mei29242\mfc90u.dll
- %TEMP%\_mei29242\mfc90.dll
- %TEMP%\_mei29242\kernelbase.dll
- %TEMP%\_mei29242\kernel32.dll
- %TEMP%\_mei29242\crypt32.dll
- %TEMP%\_mei29242\bz2.pyd
- %PROGRAMDATA%\systemidleperf\cscceac.tmp
- %TEMP%\rescead.tmp
- %TEMP%\_mei29242\python27.dll
- %TEMP%\_mei29242\_win32sysloader.pyd
Перемещает следующие файлы
- %HOMEPATH%\documents\vbb693.tmp в %TEMP%\vbb692.tmp
Сетевая активность
Подключается к
- 'aw###cloud.com':80
TCP
Запросы HTTP GET
- http://www.aw###cloud.com/x64i.scr
- http://aw###cloud.com/E@t!aBbU0le8hiInks/B/3500/m1ssh0upUuchCukXanevPozlu.dll
- http://aw###cloud.com/E@t!aBbU0le8hiInks/D/3500/p2ehtHero0paSth3end.dll
Запросы HTTP POST
- http://aw###cloud.com/E@t!aBbU0le8hiInks/cred!tors.php
- http://aw###cloud.com/E@t!aBbU0le8hiInks/ballenotapey.php
UDP
- DNS ASK aw###cloud.com
Другое
Создает и запускает на исполнение
- '%PROGRAMDATA%\systemidleperf\realtime.scr' "cmd.exe" "%PROGRAMDATA%\systemidleperf\x64i.scr"
- '%PROGRAMDATA%\systemidleperf\x64i.scr'
- '%PROGRAMDATA%\sppextcomtel\sppextcomtel.scr' --brilliance
- '<SYSTEM32>\cmd.exe' /c wscript "%PROGRAMDATA%\systemidleperf\systemidleperf.vbs" & ""%WINDIR%\Microsoft.NET\Framework\v3.5\csc.exe"" /t:exe /out:%PROGRAMDATA%\systemidleperf\Realtime.scr %PROGRAMDATA%\systemidlepe...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCEAD.tmp" "%PROGRAMDATA%\systemidleperf\CSCCEAC.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v3.5\csc.exe' /t:exe /out:%PROGRAMDATA%\systemidleperf\Realtime.scr %PROGRAMDATA%\systemidleperf\Realtime.cs
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCEAD.tmp" "%PROGRAMDATA%\systemidleperf\CSCCEAC.tmp"
- '<SYSTEM32>\cmd.exe' /c %PROGRAMDATA%\systemidleperf\x64i.scr
