Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Synaptics Pointing Device Driver' = '%PROGRAMDATA%\Synaptics\Synaptics.exe'
Заражает следующие исполняемые файлы
- %HOMEPATH%\desktop\dotnetfx45_full_setup.exe
- %HOMEPATH%\desktop\jre-7u75-windows-i586-iftw.exe
- %HOMEPATH%\desktop\skypesetup.exe
- %HOMEPATH%\desktop\tcm851ax32.exe
- %HOMEPATH%\downloads\chromesetup.exe
- %HOMEPATH%\downloads\icq_rfrset.exe
- %HOMEPATH%\downloads\k-lite_codec_pack_1110_mega.exe
- %HOMEPATH%\downloads\k-lite_codec_pack_1110_mega_dlm.exe
- %HOMEPATH%\downloads\magent_rfrset.exe
- %HOMEPATH%\downloads\mirc741.exe
- %HOMEPATH%\downloads\opera_ni_stable.exe
- %HOMEPATH%\downloads\pidgin-2.10.11.exe
- %HOMEPATH%\downloads\steamsetup.exe
- %HOMEPATH%\downloads\thunderbird setup 31.6.0.exe
- %HOMEPATH%\downloads\winamp5666_full_all.exe
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- synaptics.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\._cache_<Имя файла>.exe
- %TEMP%\dap8sygv.ico
- %TEMP%\rcxc31.tmp
- %TEMP%\6fzruji8.exe
- %TEMP%\rcx1347.tmp
- %TEMP%\6fzruji8.ico
- %TEMP%\rcx1e83.tmp
- %TEMP%\wv7gb6qb.exe
- %TEMP%\rcx275d.tmp
- %TEMP%\wv7gb6qb.ico
- %TEMP%\rcx2849.tmp
- %TEMP%\86yhpv7p.exe
- %TEMP%\rcx3308.tmp
- %TEMP%\86yhpv7p.ico
- %TEMP%\hej94cnd.exe
- %TEMP%\7ay6bbh1.ico
- %TEMP%\rcx41a0.tmp
- %TEMP%\hej94cnd.ico
- %TEMP%\rcx4309.tmp
- %TEMP%\cevoaa1g.exe
- %TEMP%\rcx457b.tmp
- %TEMP%\cevoaa1g.ico
- %TEMP%\rcx4637.tmp
- %TEMP%\ieweobbo.exe
- %TEMP%\rcx4a9d.tmp
- %TEMP%\ieweobbo.ico
- %TEMP%\rcx4e09.tmp
- %TEMP%\7ay6bbh1.exe
- %TEMP%\rcx5609.tmp
- %TEMP%\rcxb75.tmp
- %TEMP%\rcx3f7c.tmp
- %TEMP%\dap8sygv.exe
- %TEMP%\rcxcc7e.tmp
- %PROGRAMDATA%\synaptics\synaptics.exe
- <Текущая директория>\._cache_synaptics.exe
- %TEMP%\sf3fdp7q.exe
- %TEMP%\rcxc66f.tmp
- %TEMP%\sf3fdp7q.ico
- %TEMP%\rcxc70c.tmp
- %TEMP%\d9e4zrnb.exe
- %TEMP%\rcxc874.tmp
- %TEMP%\d9e4zrnb.ico
- %TEMP%\rcxc911.tmp
- %TEMP%\jubq2buv.exe
- %TEMP%\rcxcad8.tmp
- %TEMP%\jubq2buv.ico
- %TEMP%\wxeby863.exe
- %TEMP%\2hbfolai.ico
- %TEMP%\rcxceb2.tmp
- %TEMP%\wxeby863.ico
- %TEMP%\rcxcffb.tmp
- %TEMP%\f3cubhae.exe
- %TEMP%\rcxd423.tmp
- %TEMP%\f3cubhae.ico
- %TEMP%\rcxd4cf.tmp
- %TEMP%\t4fyecna.exe
- %TEMP%\rcxdfdd.tmp
- %TEMP%\t4fyecna.ico
- %TEMP%\rcxe879.tmp
- %TEMP%\2hbfolai.exe
- %TEMP%\rcxf877.tmp
- %TEMP%\rcxff3f.tmp
- %TEMP%\rcx57fe.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\._cache_<Имя файла>.exe
- %PROGRAMDATA%\synaptics\synaptics.exe
- <Текущая директория>\._cache_synaptics.exe
Удаляет следующие файлы
- %TEMP%\sf3fdp7q.exe
- %TEMP%\ieweobbo.ico
- %TEMP%\ieweobbo.exe
- %TEMP%\cevoaa1g.ico
- %TEMP%\cevoaa1g.exe
- %TEMP%\hej94cnd.ico
- %TEMP%\hej94cnd.exe
- %TEMP%\86yhpv7p.ico
- %TEMP%\86yhpv7p.exe
- %TEMP%\wv7gb6qb.ico
- %TEMP%\wv7gb6qb.exe
- %TEMP%\6fzruji8.ico
- %TEMP%\6fzruji8.exe
- %TEMP%\dap8sygv.ico
- %TEMP%\dap8sygv.exe
- %TEMP%\2hbfolai.ico
- %TEMP%\2hbfolai.exe
- %TEMP%\t4fyecna.ico
- %TEMP%\t4fyecna.exe
- %TEMP%\f3cubhae.ico
- %TEMP%\f3cubhae.exe
- %TEMP%\wxeby863.ico
- %TEMP%\wxeby863.exe
- %TEMP%\jubq2buv.ico
- %TEMP%\jubq2buv.exe
- %TEMP%\d9e4zrnb.ico
- %TEMP%\d9e4zrnb.exe
- %TEMP%\sf3fdp7q.ico
- %TEMP%\7ay6bbh1.exe
- %TEMP%\7ay6bbh1.ico
Перемещает следующие файлы
- %TEMP%\rcxc66f.tmp в %TEMP%\sf3fdp7q.exe
- %TEMP%\rcx4e09.tmp в %TEMP%\ieweobbo.exe
- %TEMP%\rcx4a9d.tmp в %TEMP%\ieweobbo.exe
- %TEMP%\rcx4637.tmp в %TEMP%\cevoaa1g.exe
- %TEMP%\rcx457b.tmp в %TEMP%\cevoaa1g.exe
- %TEMP%\rcx4309.tmp в %TEMP%\hej94cnd.exe
- %TEMP%\rcx41a0.tmp в %TEMP%\hej94cnd.exe
- %TEMP%\rcx3f7c.tmp в %TEMP%\86yhpv7p.exe
- %TEMP%\rcx3308.tmp в %TEMP%\86yhpv7p.exe
- %TEMP%\rcx2849.tmp в %TEMP%\wv7gb6qb.exe
- %TEMP%\rcx275d.tmp в %TEMP%\wv7gb6qb.exe
- %TEMP%\rcx1e83.tmp в %TEMP%\6fzruji8.exe
- %TEMP%\rcx1347.tmp в %TEMP%\6fzruji8.exe
- %TEMP%\rcxc31.tmp в %TEMP%\dap8sygv.exe
- %TEMP%\rcxb75.tmp в %TEMP%\dap8sygv.exe
- %TEMP%\rcxff3f.tmp в %TEMP%\2hbfolai.exe
- %TEMP%\rcxf877.tmp в %TEMP%\2hbfolai.exe
- %TEMP%\rcxe879.tmp в %TEMP%\t4fyecna.exe
- %TEMP%\rcxdfdd.tmp в %TEMP%\t4fyecna.exe
- %TEMP%\rcxd4cf.tmp в %TEMP%\f3cubhae.exe
- %TEMP%\rcxd423.tmp в %TEMP%\f3cubhae.exe
- %TEMP%\rcxcffb.tmp в %TEMP%\wxeby863.exe
- %TEMP%\rcxceb2.tmp в %TEMP%\wxeby863.exe
- %TEMP%\rcxcc7e.tmp в %TEMP%\jubq2buv.exe
- %TEMP%\rcxcad8.tmp в %TEMP%\jubq2buv.exe
- %TEMP%\rcxc911.tmp в %TEMP%\d9e4zrnb.exe
- %TEMP%\rcxc874.tmp в %TEMP%\d9e4zrnb.exe
- %TEMP%\rcxc70c.tmp в %TEMP%\sf3fdp7q.exe
- %TEMP%\rcx5609.tmp в %TEMP%\7ay6bbh1.exe
- %TEMP%\rcx57fe.tmp в %TEMP%\7ay6bbh1.exe
Сетевая активность
Подключается к
- 'localhost':1604
- 'xr##.mooo.com':1199
UDP
- DNS ASK xr##.mooo.com
Другое
Ищет следующие окна
- ClassName: 'MS_WINHELP' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\._cache_<Имя файла>.exe'
- '%PROGRAMDATA%\synaptics\synaptics.exe' InjUpdate
- '%PROGRAMDATA%\synaptics\synaptics.exe'
- '<Текущая директория>\._cache_synaptics.exe'
