Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\RarSFX8\rinst.exe
- %TEMP%\RarSFX9\rinst.exe
- %TEMP%\RarSFX7\rinst.exe
- %TEMP%\RarSFX5\rinst.exe
- %TEMP%\RarSFX6\rinst.exe
- %TEMP%\RarSFX10\rinst.exe
- %TEMP%\RarSFX15\rinst.exe
- %TEMP%\RarSFX14\rinst.exe
- %TEMP%\RarSFX13\rinst.exe
- %TEMP%\RarSFX12\rinst.exe
- %TEMP%\RarSFX11\rinst.exe
- %TEMP%\brut_klg.exe
- %TEMP%\RarSFX0\rinst.exe
- %TEMP%\Copie de brut_klg.exe
- %TEMP%\mes contacts.exe
- %TEMP%\yess.exe
- %TEMP%\inst_bienconfig_fud.exe
- %TEMP%\RarSFX3\rinst.exe
- %TEMP%\RarSFX4\rinst.exe
- %TEMP%\RarSFX2\rinst.exe
- %TEMP%\RarSFX1\rinst.exe
- <SYSTEM32>\bpk.exe
Запускает на исполнение:
- <SYSTEM32>\ntvdm.exe -f -i6
- <SYSTEM32>\ntvdm.exe -f -i5
- <SYSTEM32>\ntvdm.exe -f -i7
- <SYSTEM32>\ntvdm.exe -f -i9
- <SYSTEM32>\ntvdm.exe -f -i8
- <SYSTEM32>\ntvdm.exe -f -i4
- <SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\kf-amazon-mp3-store-source-128x128.png
- <SYSTEM32>\ntvdm.exe -f -i1
- <SYSTEM32>\notepad.exe %TEMP%\Desktop.ini
- <SYSTEM32>\ntvdm.exe -f -i3
- <SYSTEM32>\ntvdm.exe -f -i2
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX10\bpk.exe
- %TEMP%\RarSFX10\0.exe
- %WINDIR%\Temp\scs13.tmp
- %TEMP%\RarSFX10\rinst.exe
- %WINDIR%\Temp\scs12.tmp
- %TEMP%\RarSFX10\inst.dat
- %TEMP%\RarSFX10\pk.bin
- %TEMP%\RarSFX10\bpkwb.dll
- %TEMP%\RarSFX10\bpkhk.dll
- %TEMP%\RarSFX11\pk.bin
- %TEMP%\RarSFX11\bpk.exe
- %WINDIR%\Temp\scs15.tmp
- %TEMP%\RarSFX12\pk.bin
- %TEMP%\RarSFX11\rinst.exe
- %TEMP%\RarSFX11\0.exe
- %WINDIR%\Temp\scs14.tmp
- %TEMP%\RarSFX11\inst.dat
- %TEMP%\RarSFX11\bpkwb.dll
- %TEMP%\RarSFX11\bpkhk.dll
- %WINDIR%\Temp\scsF.tmp
- %TEMP%\RarSFX8\bpkhk.dll
- %TEMP%\RarSFX8\0.exe
- %TEMP%\RarSFX8\bpkwb.dll
- %TEMP%\RarSFX7\bpk.exe
- %TEMP%\RarSFX7\0.exe
- %TEMP%\RarSFX7\bpkwb.dll
- %TEMP%\RarSFX8\inst.dat
- %TEMP%\RarSFX8\pk.bin
- %TEMP%\RarSFX7\rinst.exe
- %TEMP%\RarSFX9\0.exe
- %TEMP%\RarSFX9\bpkwb.dll
- %TEMP%\RarSFX9\rinst.exe
- %TEMP%\RarSFX9\bpk.exe
- %TEMP%\RarSFX9\bpkhk.dll
- %TEMP%\RarSFX8\rinst.exe
- %TEMP%\RarSFX8\bpk.exe
- %TEMP%\RarSFX9\inst.dat
- %TEMP%\RarSFX9\pk.bin
- %TEMP%\RarSFX15\bpk.exe
- %TEMP%\RarSFX14\0.exe
- %TEMP%\RarSFX14\bpk.exe
- %TEMP%\RarSFX15\rinst.exe
- %TEMP%\RarSFX14\bpkwb.dll
- %WINDIR%\Temp\scs19.tmp
- %TEMP%\RarSFX14\bpkhk.dll
- %TEMP%\RarSFX15\0.exe
- %TEMP%\RarSFX15\bpkwb.dll
- %TEMP%\RarSFX14\rinst.exe
- %TEMP%\RarSFX16\0.exe
- %TEMP%\RarSFX16\bpkwb.dll
- %TEMP%\RarSFX16\rinst.exe
- %TEMP%\RarSFX16\bpk.exe
- %TEMP%\RarSFX16\bpkhk.dll
- %WINDIR%\Temp\scs1B.tmp
- %WINDIR%\Temp\scs1A.tmp
- %TEMP%\RarSFX16\inst.dat
- %TEMP%\RarSFX16\pk.bin
- %TEMP%\RarSFX13\pk.bin
- %TEMP%\RarSFX12\rinst.exe
- %TEMP%\RarSFX13\bpkhk.dll
- %TEMP%\RarSFX13\inst.dat
- %TEMP%\RarSFX12\bpk.exe
- %TEMP%\RarSFX12\bpkhk.dll
- %TEMP%\RarSFX12\inst.dat
- %TEMP%\RarSFX12\0.exe
- %TEMP%\RarSFX12\bpkwb.dll
- %TEMP%\RarSFX13\bpkwb.dll
- %TEMP%\RarSFX14\inst.dat
- %TEMP%\RarSFX15\inst.dat
- %TEMP%\RarSFX15\bpkhk.dll
- %WINDIR%\Temp\scs18.tmp
- %TEMP%\RarSFX15\pk.bin
- %TEMP%\RarSFX13\bpk.exe
- %TEMP%\RarSFX13\0.exe
- %TEMP%\RarSFX14\pk.bin
- %TEMP%\RarSFX13\rinst.exe
- %TEMP%\RarSFX1\rinst.exe
- %WINDIR%\Temp\scs6.tmp
- %TEMP%\RarSFX2\pk.bin
- %WINDIR%\Temp\scs7.tmp
- %TEMP%\RarSFX1\bpk.exe
- %TEMP%\RarSFX1\bpkhk.dll
- %TEMP%\RarSFX1\inst.dat
- %TEMP%\RarSFX1\0.exe
- %TEMP%\RarSFX1\bpkwb.dll
- %TEMP%\RarSFX2\inst.dat
- %TEMP%\RarSFX2\bpk.exe
- <SYSTEM32>\bpk.exe
- %TEMP%\RarSFX3\inst.dat
- %TEMP%\RarSFX3\pk.bin
- <SYSTEM32>\pk.bin
- %TEMP%\RarSFX2\bpkwb.dll
- %TEMP%\RarSFX2\bpkhk.dll
- %TEMP%\RarSFX2\0.exe
- %WINDIR%\Temp\scs8.tmp
- %TEMP%\Desktop.ini
- %TEMP%\Thumbs.db
- %WINDIR%\Temp\scs3.tmp
- %WINDIR%\Temp\scs2.tmp
- %TEMP%\kf-amazon-mp3-store-source-128x128.png
- %TEMP%\0.exe
- %TEMP%\mes contacts.exe
- %TEMP%\Copie de brut_klg.exe
- %TEMP%\yess.exe
- %TEMP%\brut_klg.exe
- %TEMP%\RarSFX0\rinst.exe
- %TEMP%\RarSFX0\bpk.exe
- %TEMP%\RarSFX1\pk.bin
- %TEMP%\inst_bienconfig_fud.exe
- %TEMP%\RarSFX0\0.exe
- %TEMP%\RarSFX0\inst.dat
- %TEMP%\RarSFX0\pk.bin
- %TEMP%\RarSFX0\bpkwb.dll
- %TEMP%\RarSFX0\bpkhk.dll
- %TEMP%\RarSFX6\pk.bin
- %TEMP%\RarSFX5\rinst.exe
- %TEMP%\RarSFX6\bpkhk.dll
- %TEMP%\RarSFX6\inst.dat
- %TEMP%\RarSFX5\bpk.exe
- %TEMP%\RarSFX5\bpkhk.dll
- %TEMP%\RarSFX5\inst.dat
- %TEMP%\RarSFX5\0.exe
- %TEMP%\RarSFX5\bpkwb.dll
- %TEMP%\RarSFX6\bpkwb.dll
- %TEMP%\RarSFX7\pk.bin
- %WINDIR%\Temp\scsE.tmp
- %TEMP%\RarSFX7\bpkhk.dll
- %TEMP%\RarSFX7\inst.dat
- %WINDIR%\Temp\scsD.tmp
- %TEMP%\RarSFX6\0.exe
- %WINDIR%\Temp\scsC.tmp
- %TEMP%\RarSFX6\rinst.exe
- %TEMP%\RarSFX6\bpk.exe
- %TEMP%\RarSFX3\bpk.exe
- <SYSTEM32>\bpkwb.dll
- %WINDIR%\Temp\scs9.tmp
- %TEMP%\RarSFX4\pk.bin
- %TEMP%\RarSFX3\0.exe
- %TEMP%\RarSFX3\bpkhk.dll
- %TEMP%\RarSFX2\rinst.exe
- <SYSTEM32>\bpkhk.dll
- %TEMP%\RarSFX3\bpkwb.dll
- %TEMP%\RarSFX4\inst.dat
- %TEMP%\RarSFX4\bpk.exe
- %TEMP%\RarSFX4\bienconfig.exe
- %TEMP%\RarSFX5\pk.bin
- %TEMP%\RarSFX4\rinst.exe
- %TEMP%\RarSFX4\bpkwb.dll
- %TEMP%\RarSFX4\bpkhk.dll
- <SYSTEM32>\inst.dat
- <SYSTEM32>\rinst.exe
- %TEMP%\RarSFX3\rinst.exe
Удаляет следующие файлы:
- %TEMP%\RarSFX9\rinst.exe
- %WINDIR%\Temp\scs12.tmp
- %WINDIR%\Temp\scs14.tmp
- %TEMP%\RarSFX9\inst.dat
- %TEMP%\RarSFX9\bpkhk.dll
- %TEMP%\RarSFX9\bpkwb.dll
- %TEMP%\RarSFX6\0.exe
- %TEMP%\RarSFX10\pk.bin
- %TEMP%\RarSFX10\bpk.exe
- %TEMP%\RarSFX9\0.exe
- %TEMP%\RarSFX7\0.exe
- %WINDIR%\Temp\scs13.tmp
- %WINDIR%\Temp\scs15.tmp
- %TEMP%\RarSFX8\0.exe
- %TEMP%\RarSFX7\bpkhk.dll
- %TEMP%\RarSFX8\bpkhk.dll
- %TEMP%\RarSFX8\bpkwb.dll
- %TEMP%\RarSFX8\bpk.exe
- %TEMP%\RarSFX7\pk.bin
- %TEMP%\RarSFX7\bpk.exe
- %TEMP%\RarSFX8\pk.bin
- %TEMP%\RarSFX8\rinst.exe
- %TEMP%\RarSFX9\pk.bin
- %TEMP%\RarSFX9\bpk.exe
- %TEMP%\RarSFX7\rinst.exe
- %TEMP%\RarSFX7\bpkwb.dll
- %TEMP%\RarSFX7\inst.dat
- %TEMP%\RarSFX8\inst.dat
- %TEMP%\RarSFX10\bpkhk.dll
- %TEMP%\RarSFX13\bpkwb.dll
- %TEMP%\RarSFX12\0.exe
- %TEMP%\RarSFX10\0.exe
- %TEMP%\RarSFX13\bpkhk.dll
- %TEMP%\RarSFX11\rinst.exe
- %TEMP%\RarSFX13\pk.bin
- %TEMP%\RarSFX13\bpk.exe
- %WINDIR%\Temp\scs1A.tmp
- %WINDIR%\Temp\scs18.tmp
- %WINDIR%\Temp\scs1B.tmp
- %WINDIR%\Temp\scs19.tmp
- %TEMP%\RarSFX13\inst.dat
- %TEMP%\RarSFX11\0.exe
- %TEMP%\RarSFX13\rinst.exe
- %TEMP%\RarSFX12\bpkhk.dll
- %TEMP%\RarSFX10\rinst.exe
- %TEMP%\RarSFX12\bpkwb.dll
- %TEMP%\RarSFX12\bpk.exe
- %TEMP%\RarSFX10\bpkwb.dll
- %TEMP%\RarSFX12\pk.bin
- %TEMP%\RarSFX10\inst.dat
- %TEMP%\RarSFX11\bpkhk.dll
- %TEMP%\RarSFX11\bpkwb.dll
- %TEMP%\RarSFX11\inst.dat
- %TEMP%\RarSFX12\rinst.exe
- %TEMP%\RarSFX11\pk.bin
- %TEMP%\RarSFX12\inst.dat
- %TEMP%\RarSFX11\bpk.exe
- %TEMP%\RarSFX6\rinst.exe
- %TEMP%\RarSFX1\rinst.exe
- %TEMP%\RarSFX2\pk.bin
- %TEMP%\RarSFX1\0.exe
- %TEMP%\RarSFX1\inst.dat
- %TEMP%\RarSFX1\bpk.exe
- %TEMP%\RarSFX1\bpkhk.dll
- %TEMP%\RarSFX1\bpkwb.dll
- %TEMP%\RarSFX3\bpkhk.dll
- %TEMP%\RarSFX4\bpk.exe
- %TEMP%\RarSFX4\bpkhk.dll
- %TEMP%\RarSFX3\bpk.exe
- %TEMP%\RarSFX3\pk.bin
- %TEMP%\RarSFX2\bpk.exe
- %TEMP%\RarSFX4\pk.bin
- %TEMP%\RarSFX0\pk.bin
- %TEMP%\RarSFX0\bpk.exe
- %TEMP%\RarSFX0\bpkhk.dll
- %WINDIR%\Temp\scs7.tmp
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs3.tmp
- %WINDIR%\Temp\scs6.tmp
- %WINDIR%\Temp\scs9.tmp
- %TEMP%\RarSFX0\0.exe
- %TEMP%\RarSFX1\pk.bin
- %WINDIR%\Temp\scs8.tmp
- %TEMP%\RarSFX0\bpkwb.dll
- %TEMP%\RarSFX0\inst.dat
- %TEMP%\RarSFX0\rinst.exe
- %TEMP%\RarSFX2\bpkhk.dll
- %WINDIR%\Temp\scsE.tmp
- %WINDIR%\Temp\scsF.tmp
- %TEMP%\RarSFX4\bienconfig.exe
- %TEMP%\RarSFX3\0.exe
- %TEMP%\RarSFX5\bpkwb.dll
- %TEMP%\RarSFX5\inst.dat
- %TEMP%\RarSFX5\rinst.exe
- %TEMP%\RarSFX6\bpkhk.dll
- %TEMP%\RarSFX6\bpkwb.dll
- %TEMP%\RarSFX6\inst.dat
- %TEMP%\RarSFX6\bpk.exe
- %TEMP%\RarSFX2\0.exe
- %TEMP%\RarSFX5\0.exe
- %TEMP%\RarSFX6\pk.bin
- %TEMP%\RarSFX3\inst.dat
- %TEMP%\RarSFX3\rinst.exe
- %TEMP%\RarSFX2\inst.dat
- %TEMP%\RarSFX4\inst.dat
- %TEMP%\RarSFX4\bpkwb.dll
- %TEMP%\RarSFX2\bpkwb.dll
- %TEMP%\RarSFX3\bpkwb.dll
- %TEMP%\RarSFX5\bpkhk.dll
- %WINDIR%\Temp\scsC.tmp
- %WINDIR%\Temp\scsD.tmp
- %TEMP%\RarSFX5\bpk.exe
- %TEMP%\RarSFX4\rinst.exe
- %TEMP%\RarSFX2\rinst.exe
- %TEMP%\RarSFX5\pk.bin
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-e28.e34.3c0001'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-d1c.d24.3b0002'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-cd8.cdc.3a0001'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-fb8.fbc.3f0002'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-fa0.fac.3e0001'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-e58.e60.3d0002'
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b30.b34.370001'
- ClassName: '' WindowName: 'PKL Window'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-be0.be4.390002'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b94.b9c.380001'
