Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, C:\perfdhcp\Protect.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, C:\perfdhcp\Protect.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\e8f544678c0d1ae98066b317e91b3a3f
- <SYSTEM32>\tasks\jsl2mgzo
- <SYSTEM32>\tasks\osaqunyc
- <SYSTEM32>\tasks\j5cjzukj
- <SYSTEM32>\tasks\m3tubfka
- <SYSTEM32>\tasks\ivp1jnuq
- <SYSTEM32>\tasks\4tefia21
- <SYSTEM32>\tasks\ammbpeih
- <SYSTEM32>\tasks\zuwz0d1b
- <SYSTEM32>\tasks\4rdkjxxn
- <SYSTEM32>\tasks\sdv3j2id
Изменения в файловой системе
Создает следующие файлы
- C:\perfdhcp\ctwxvxq2j46ajae6mvx5.exe
- %TEMP%\20wp5x3p.out
- %TEMP%\2iblxfww.0.cs
- %TEMP%\2iblxfww.cmdline
- %TEMP%\2iblxfww.out
- C:\far2\fexcept\p5a25zc5\csce74.tmp
- %TEMP%\rese85.tmp
- C:\far2\fexcept\p5a25zc5\winlogon.exe
- %TEMP%\ils4mw2a.0.cs
- %TEMP%\ils4mw2a.cmdline
- %TEMP%\ils4mw2a.out
- C:\perfdhcp\dclib\csc1c5f.tmp
- %TEMP%\res1c6f.tmp
- C:\perfdhcp\dclib\conhost.exe
- %TEMP%\tluyeokl.0.cs
- %TEMP%\tluyeokl.cmdline
- %TEMP%\tluyeokl.out
- C:\far2\documentation\rus\csc2373.tmp
- %TEMP%\res2374.tmp
- C:\far2\documentation\rus\services.exe
- %TEMP%\1ibjqyko.0.cs
- %TEMP%\1ibjqyko.cmdline
- %TEMP%\1ibjqyko.out
- %TEMP%\xes45pox.0.cs
- %TEMP%\xes45pox.cmdline
- %TEMP%\xes45pox.out
- %TEMP%\zzkt2dab.0.cs
- %TEMP%\zzkt2dab.cmdline
- %TEMP%\zzkt2dab.out
- C:\documents and settings\csc30f0.tmp
- %TEMP%\20wp5x3p.cmdline
- %TEMP%\res30f1.tmp
- %TEMP%\20wp5x3p.0.cs
- %TEMP%\res240.tmp
- C:\perfdhcp\otukwjg7id0v7fxxeqcti3quadfxgr.vbs
- C:\perfdhcp\28embqw2t4jsb5nzjvgcx5w4ov0wp8.bat
- C:\perfdhcp\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- C:\perfdhcp\dclib\rs2300f068121707def35df4f7b5d2bc8a016bd37f.dclib
- C:\perfdhcp\segkzdyavrgbiqmxs1zgh6gwwygbdt.bat
- C:\perfdhcp\vmcheck32.dll
- C:\perfdhcp\protect.exe
- C:\perfdhcp\system.vbe
- C:\perfdhcp\system.lnk
- %TEMP%\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %TEMP%\dclib\rs2300f068121707def35df4f7b5d2bc8a016bd37f.dclib
- C:\far2\fexcept\p5a25zc5\protect.exe
- C:\far2\fexcept\p5a25zc5\vmcheck32.dll
- %TEMP%\y1qgfi4k.0.cs
- %TEMP%\y1qgfi4k.cmdline
- %TEMP%\y1qgfi4k.out
- C:\perflogs\admin\csceb1d.tmp
- %TEMP%\reseb2e.tmp
- C:\perflogs\admin\svchost.exe
- %TEMP%\xtqbroug.0.cs
- %TEMP%\xtqbroug.cmdline
- %TEMP%\xtqbroug.out
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\cscf6f4.tmp
- %TEMP%\resf705.tmp
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\spoolsv.exe
- %TEMP%\tixoalbr.0.cs
- %TEMP%\tixoalbr.cmdline
- %TEMP%\tixoalbr.out
- %PROGRAMDATA%\oracle\java\installcache_x64\csc23f.tmp
- %PROGRAMDATA%\oracle\java\installcache_x64\svchost.exe
- C:\documents and settings\lsass.exe
Удаляет следующие файлы
- %TEMP%\reseb2e.tmp
- %TEMP%\ils4mw2a.cmdline
- %TEMP%\ils4mw2a.0.cs
- %TEMP%\ils4mw2a.out
- %TEMP%\res2374.tmp
- C:\far2\documentation\rus\csc2373.tmp
- %TEMP%\tluyeokl.out
- %TEMP%\tluyeokl.cmdline
- %TEMP%\res1c6f.tmp
- C:\perfdhcp\dclib\csc1c5f.tmp
- %TEMP%\tluyeokl.0.cs
- %TEMP%\1ibjqyko.cmdline
- %TEMP%\xes45pox.0.cs
- %TEMP%\xes45pox.cmdline
- %TEMP%\xes45pox.out
- %TEMP%\res30f1.tmp
- C:\documents and settings\csc30f0.tmp
- %TEMP%\zzkt2dab.0.cs
- %TEMP%\1ibjqyko.out
- %TEMP%\1ibjqyko.0.cs
- %TEMP%\2iblxfww.cmdline
- %TEMP%\2iblxfww.0.cs
- %TEMP%\2iblxfww.out
- %TEMP%\y1qgfi4k.0.cs
- %TEMP%\y1qgfi4k.cmdline
- %TEMP%\y1qgfi4k.out
- %TEMP%\resf705.tmp
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\cscf6f4.tmp
- %TEMP%\xtqbroug.0.cs
- %TEMP%\xtqbroug.cmdline
- %TEMP%\xtqbroug.out
- C:\perflogs\admin\csceb1d.tmp
- %TEMP%\res240.tmp
- %TEMP%\tixoalbr.0.cs
- %TEMP%\tixoalbr.out
- %TEMP%\tixoalbr.cmdline
- %TEMP%\20wp5x3p.cmdline
- %TEMP%\20wp5x3p.0.cs
- %TEMP%\20wp5x3p.out
- %TEMP%\rese85.tmp
- C:\far2\fexcept\p5a25zc5\csce74.tmp
- %PROGRAMDATA%\oracle\java\installcache_x64\csc23f.tmp
- %TEMP%\zzkt2dab.out
- %TEMP%\zzkt2dab.cmdline
Сетевая активность
TCP
Запросы HTTP GET
- http://cj####8.tmweb.ru/nvjj9ilevjx5y7kucfpq867m9gaj9f2ix67n4cbd6v28w2sxptd50ruk8344y6uyvn4ahqsy1sei/ec1bbnlogc34ijjgfo1vrjml4hbcpyf/7b062b724cf9273a6f6a43cf37b56db9545a7b3e.php?43#############...
- http://cj####8.tmweb.ru/nvjj9ilevjx5y7kucfpq867m9gaj9f2ix67n4cbd6v28w2sxptd50ruk8344y6uyvn4ahqsy1sei/ec1bbnlogc34ijjgfo1vrjml4hbcpyf/7b062b724cf9273a6f6a43cf37b56db9545a7b3e.php?ff#############...
- http://cj####8.tmweb.ru/nvjj9ilevjx5y7kucfpq867m9gaj9f2ix67n4cbd6v28w2sxptd50ruk8344y6uyvn4ahqsy1sei/ec1bbnlogc34ijjgfo1vrjml4hbcpyf/azeyoi2am7i40183o37l8q6k8jfej3dhubc8fmtc5sbzx0q5c/fa55a896f4...
- http://ip##fo.io/ip
UDP
- DNS ASK cj####8.tmweb.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\perfdhcp\otUKwJg7Id0V7FXXeQCti3qUAdfXgR.vbs"
- 'C:\perflogs\admin\svchost.exe'
- 'C:\perfdhcp\dclib\conhost.exe'
- 'C:\far2\fexcept\p5a25zc5\winlogon.exe'
- 'C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\spoolsv.exe'
- 'C:\far2\documentation\rus\services.exe'
- '%PROGRAMDATA%\oracle\java\installcache_x64\svchost.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\perfdhcp\System.vbe"
- 'C:\perfdhcp\ctwxvxq2j46ajae6mvx5.exe' -pd923c62d2b85278df791fa5e696cc29bdd77e8fa
- 'C:\perfdhcp\protect.exe'
- 'C:\documents and settings\lsass.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tluyeokl.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF705.tmp" "c:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\1033\CSCF6F4.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zzkt2dab.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xes45pox.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xtqbroug.cmdline"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfdhcp\28emBqW2t4jSb5NZjVgCx5W4Ov0wp8.bat" "' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2374.tmp" "c:\Far2\Documentation\rus\CSC2373.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1C6F.tmp" "c:\perfdhcp\dclib\CSC1C5F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES240.tmp" "%PROGRAMDATA%\Oracle\Java\installcache_x64\CSC23F.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\y1qgfi4k.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2iblxfww.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\20wp5x3p.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES30F1.tmp" "c:\Documents and Settings\CSC30F0.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ils4mw2a.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tixoalbr.cmdline"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfdhcp\SEgkzdyAVrGBiqmxS1Zgh6GwWygBdT.bat" "' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE85.tmp" "c:\Far2\FExcept\p5a25zc5\CSCE74.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1ibjqyko.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEB2E.tmp" "c:\PerfLogs\Admin\CSCEB1D.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfdhcp\28emBqW2t4jSb5NZjVgCx5W4Ov0wp8.bat" "
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xes45pox.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1ibjqyko.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2374.tmp" "c:\Far2\Documentation\rus\CSC2373.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tluyeokl.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1C6F.tmp" "c:\perfdhcp\dclib\CSC1C5F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ils4mw2a.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE85.tmp" "c:\Far2\FExcept\p5a25zc5\CSCE74.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zzkt2dab.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2iblxfww.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES240.tmp" "%PROGRAMDATA%\Oracle\Java\installcache_x64\CSC23F.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tixoalbr.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF705.tmp" "c:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\1033\CSCF6F4.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xtqbroug.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEB2E.tmp" "c:\PerfLogs\Admin\CSCEB1D.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\y1qgfi4k.cmdline"
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfdhcp\SEgkzdyAVrGBiqmxS1Zgh6GwWygBdT.bat" "
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\20wp5x3p.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES30F1.tmp" "c:\Documents and Settings\CSC30F0.tmp"
