Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\01c65ea539997c96d6f15da465280cee
- <SYSTEM32>\tasks\zxoqcphb
- <SYSTEM32>\tasks\ideaitpg
- <SYSTEM32>\tasks\ihacytke
- <SYSTEM32>\tasks\0jupr2to
- <SYSTEM32>\tasks\s4ufbosn
- <SYSTEM32>\tasks\l5a43hda
- <SYSTEM32>\tasks\rqa0slus
- <SYSTEM32>\tasks\irjfeb11
- <SYSTEM32>\tasks\fxuvkt00
- <SYSTEM32>\tasks\3konazb0
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- C:\intosvc\u1vpb8gj7yclojborf6y.exe
- %TEMP%\re1dc4ge.0.cs
- %WINDIR%\pchealth\errorrep\qheadles\svchost.exe
- %TEMP%\res6c74.tmp
- %WINDIR%\pchealth\errorrep\qheadles\csc6c73.tmp
- %TEMP%\xizbcowd.out
- %TEMP%\xizbcowd.cmdline
- %TEMP%\xizbcowd.0.cs
- %ProgramFiles%\msnmsgr\lsass.exe
- %TEMP%\res5e5a.tmp
- %TEMP%\re1dc4ge.cmdline
- %ProgramFiles%\msnmsgr\csc5e59.tmp
- %TEMP%\jrbub4wd.cmdline
- %TEMP%\jrbub4wd.0.cs
- C:\intosvc\wdvlk2gn3zr.ytmp
- C:\intosvc\kqjszutgpb5.ytmp
- C:\intosvc\ybebdtdalv2.xtmp
- C:\intosvc\ol4wqd1dxcv.xtmp
- C:\intosvc\duabfx5hmlc.xtmp
- %TEMP%\res5293.tmp
- C:\intosvc\qsazf54vju2.ytmp
- %TEMP%\jrbub4wd.out
- %TEMP%\qav3iqqw.out
- %TEMP%\res89ee.tmp
- %TEMP%\res733a.tmp
- <Текущая директория>\kpfrvot0\csc89de.tmp
- %TEMP%\roj0aji5.out
- %TEMP%\roj0aji5.cmdline
- %TEMP%\roj0aji5.0.cs
- %TEMP%\daer5fxz.out
- %TEMP%\daer5fxz.cmdline
- %TEMP%\daer5fxz.0.cs
- %HOMEPATH%\cookies\explorer.exe
- %TEMP%\res7f11.tmp
- <Текущая директория>\kpfrvot0\csc5292.tmp
- %HOMEPATH%\cookies\csc7f01.tmp
- %TEMP%\qav3iqqw.cmdline
- %TEMP%\qav3iqqw.0.cs
- %ProgramFiles(x86)%\windows defender\en-us\svchost.exe
- %TEMP%\res783b.tmp
- %ProgramFiles(x86)%\windows defender\en-us\csc782b.tmp
- %TEMP%\c3afmcni.out
- %TEMP%\c3afmcni.cmdline
- %TEMP%\c3afmcni.0.cs
- C:\far2\encyclopedia\tap\svchost.exe
- %TEMP%\re1dc4ge.out
- C:\far2\encyclopedia\tap\csc7339.tmp
- C:\intosvc\0ekg24rsjel.ztmp
- %TEMP%\b4awxnqx.cmdline
- <Текущая директория>\kpfrvot0\hostdhcp.exe
- %TEMP%\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
- %TEMP%\dclib\antiwindowsdefender.dclib
- %TEMP%\dclib\antivm.dclib
- %TEMP%\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %TEMP%\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
- C:\intosvc\system.lnk
- C:\intosvc\system.vbe
- C:\intosvc\hostdhcp.exe
- <Текущая директория>\kpfrvot0\vmcheck32.dll
- C:\intosvc\vmcheck32.dll
- C:\intosvc\mos
- C:\intosvc\msg.vbs
- C:\intosvc\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
- C:\intosvc\dclib\antiwindowsdefender.dclib
- C:\intosvc\dclib\antivm.dclib
- C:\intosvc\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- C:\intosvc\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
- C:\intosvc\ebp7wiptj1c2pp9hjezwmfs8vnndk4.bat
- C:\intosvc\xmidyx2yp2jezewpf6sjv9kispwplk.vbs
- C:\intosvc\lfupl3n14hfhrgg7vwrnoqodfti5xl.bat
- C:\intosvc\xrx1fu3qzr4.xtmp
- C:\intosvc\5x3grc4d2sf.xtmp
- %TEMP%\b4awxnqx.out
- C:\intosvc\hxozmez5eaf.ztmp
- C:\intosvc\gbulgdnvm21.xtmp
- C:\intosvc\ximzsgbdcxh.xtmp
- C:\intosvc\dwbguqcjphv.xtmp
- C:\intosvc\wjeiuftzhtp.xtmp
- C:\intosvc\ts1xpoc1blq.ytmp
- C:\intosvc\1enoxtvpsii.ztmp
- %TEMP%\nzanayhf.out
- %TEMP%\nzanayhf.cmdline
- C:\intosvc\jz2xcjz2vka.ztmp
- %TEMP%\nzanayhf.0.cs
- C:\intosvc\dclib\lsass.exe
- %TEMP%\res3fe5.tmp
- C:\intosvc\dclib\csc3fe4.tmp
- %TEMP%\f0lomeri.out
- %TEMP%\f0lomeri.cmdline
- %TEMP%\f0lomeri.0.cs
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\iexplore.exe
- %TEMP%\res36ec.tmp
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\csc36eb.tmp
- %TEMP%\b4awxnqx.0.cs
- <Текущая директория>\kpfrvot0\svchost.exe
Удаляет следующие файлы
- %TEMP%\res36ec.tmp
- %TEMP%\xizbcowd.0.cs
- %TEMP%\xizbcowd.out
- %TEMP%\xizbcowd.cmdline
- %TEMP%\res733a.tmp
- C:\far2\encyclopedia\tap\csc7339.tmp
- %TEMP%\re1dc4ge.cmdline
- %TEMP%\re1dc4ge.out
- %TEMP%\re1dc4ge.0.cs
- %TEMP%\res783b.tmp
- %ProgramFiles(x86)%\windows defender\en-us\csc782b.tmp
- %TEMP%\c3afmcni.out
- C:\intosvc\ximzsgbdcxh.xtmp
- %TEMP%\c3afmcni.cmdline
- %TEMP%\res7f11.tmp
- %HOMEPATH%\cookies\csc7f01.tmp
- %TEMP%\qav3iqqw.out
- %TEMP%\qav3iqqw.0.cs
- %TEMP%\qav3iqqw.cmdline
- %TEMP%\daer5fxz.0.cs
- %TEMP%\daer5fxz.cmdline
- %TEMP%\daer5fxz.out
- %TEMP%\res89ee.tmp
- <Текущая директория>\kpfrvot0\csc89de.tmp
- %TEMP%\roj0aji5.out
- %TEMP%\res6c74.tmp
- %WINDIR%\pchealth\errorrep\qheadles\csc6c73.tmp
- %TEMP%\jrbub4wd.cmdline
- %TEMP%\jrbub4wd.out
- %TEMP%\jrbub4wd.0.cs
- %TEMP%\b4awxnqx.0.cs
- %TEMP%\b4awxnqx.out
- %TEMP%\b4awxnqx.cmdline
- %TEMP%\res3fe5.tmp
- C:\intosvc\dclib\csc3fe4.tmp
- %TEMP%\f0lomeri.out
- %TEMP%\f0lomeri.0.cs
- %TEMP%\f0lomeri.cmdline
- <Текущая директория>\kpfrvot0\hostdhcp.exe
- C:\intosvc\xrx1fu3qzr4.xtmp
- C:\intosvc\wjeiuftzhtp.xtmp
- %TEMP%\roj0aji5.0.cs
- %TEMP%\c3afmcni.0.cs
- C:\intosvc\1enoxtvpsii.ztmp
- C:\intosvc\ts1xpoc1blq.ytmp
- C:\intosvc\5x3grc4d2sf.xtmp
- C:\intosvc\ol4wqd1dxcv.xtmp
- C:\intosvc\kqjszutgpb5.ytmp
- %TEMP%\res5293.tmp
- <Текущая директория>\kpfrvot0\csc5292.tmp
- %TEMP%\nzanayhf.cmdline
- %TEMP%\nzanayhf.0.cs
- %TEMP%\nzanayhf.out
- %TEMP%\res5e5a.tmp
- %ProgramFiles%\msnmsgr\csc5e59.tmp
- C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\csc36eb.tmp
- C:\intosvc\jz2xcjz2vka.ztmp
- %TEMP%\roj0aji5.cmdline
Подменяет следующие файлы
- <Текущая директория>\kpfrvot0\hostdhcp.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://s2####3.smrtp.ru/p56fawj5b50pky9pg4r2myvdupa4h1qrmk03jsqwg3vsqby69oiloxrle3yi2z9ah/mqnsfijma5wfg861o0u9/39d4701e85a37fc66519549240dad0774806d228.php?73################################
- http://s2####3.smrtp.ru/p56fawj5b50pky9pg4r2myvdupa4h1qrmk03jsqwg3vsqby69oiloxrle3yi2z9ah/mqnsfijma5wfg861o0u9/39d4701e85a37fc66519549240dad0774806d228.php?2d###################################...
- http://s2####3.smrtp.ru/p56fawj5b50pky9pg4r2myvdupa4h1qrmk03jsqwg3vsqby69oiloxrle3yi2z9ah/mqnsfijma5wfg861o0u9/ph5rvqn3o7/dbe7e2fd6d2757db2962024710262eca.php?a7################################...
- http://ip##fo.io/ip
UDP
- DNS ASK s2####3.smrtp.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\intosvc\XMiDYX2yP2JeZewPf6sJV9KisPWplK.vbs"
- 'C:\intosvc\dclib\lsass.exe'
- '%HOMEPATH%\cookies\explorer.exe'
- 'C:\far2\encyclopedia\tap\svchost.exe'
- '%WINDIR%\pchealth\errorrep\qheadles\svchost.exe'
- '%ProgramFiles%\msnmsgr\lsass.exe'
- '%ProgramFiles(x86)%\windows defender\en-us\svchost.exe'
- 'C:\msocache\all users\{90140000-0043-0409-1000-0000000ff1ce}-c\iexplore.exe'
- '<Текущая директория>\kpfrvot0\svchost.exe'
- 'C:\intosvc\hostdhcp.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\intosvc\System.vbe"
- '%WINDIR%\syswow64\wscript.exe' "C:\intosvc\msg.vbs"
- 'C:\intosvc\u1vpb8gj7yclojborf6y.exe' -p7d7c2081976fe7997f6e9f75a99643b1c404e108
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\c3afmcni.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\b4awxnqx.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\roj0aji5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\daer5fxz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES36EC.tmp" "c:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\CSC36EB.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7F11.tmp" "%HOMEPATH%\Cookies\CSC7F01.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qav3iqqw.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES783B.tmp" "%ProgramFiles(x86)%\Windows Defender\en-US\CSC782B.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES733A.tmp" "c:\Far2\Encyclopedia\tap\CSC7339.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nzanayhf.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6C74.tmp" "%WINDIR%\PCHEALTH\ERRORREP\QHEADLES\CSC6C73.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\intosvc\lFuPl3n14HFHRgg7vWrNOQOdFTI5Xl.bat" "' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES89EE.tmp" "<Текущая директория>\kpfrvot0\CSC89DE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jrbub4wd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5293.tmp" "<Текущая директория>\kpfrvot0\CSC5292.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\re1dc4ge.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3FE5.tmp" "c:\intosvc\dclib\CSC3FE4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\f0lomeri.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xizbcowd.cmdline"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\intosvc\Ebp7wiPtj1c2Pp9HJEzWMfS8Vnndk4.bat" "' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5E5A.tmp" "%ProgramFiles%\msnmsgr\CSC5E59.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\intosvc\Ebp7wiPtj1c2Pp9HJEzWMfS8Vnndk4.bat" "
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\daer5fxz.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7F11.tmp" "%HOMEPATH%\Cookies\CSC7F01.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qav3iqqw.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES783B.tmp" "%ProgramFiles(x86)%\Windows Defender\en-US\CSC782B.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\c3afmcni.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES733A.tmp" "c:\Far2\Encyclopedia\tap\CSC7339.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\re1dc4ge.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6C74.tmp" "%WINDIR%\PCHEALTH\ERRORREP\QHEADLES\CSC6C73.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\roj0aji5.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xizbcowd.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\jrbub4wd.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5293.tmp" "<Текущая директория>\kpfrvot0\CSC5292.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\nzanayhf.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3FE5.tmp" "c:\intosvc\dclib\CSC3FE4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\f0lomeri.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES36EC.tmp" "c:\MSOCache\All Users\{90140000-0043-0409-1000-0000000FF1CE}-C\CSC36EB.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\b4awxnqx.cmdline"
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\intosvc\lFuPl3n14HFHRgg7vWrNOQOdFTI5Xl.bat" "
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5E5A.tmp" "%ProgramFiles%\msnmsgr\CSC5E59.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES89EE.tmp" "<Текущая директория>\kpfrvot0\CSC89DE.tmp"
