Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe QuikInstall' = '%APPDATA%\Adobe\Adobe QuikInstall.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, C:\reviewbroker\svccrt.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, C:\reviewbroker\svccrt.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\66ea6ff8aca0c6e7854d0ed40ac3082d
Изменения в файловой системе
Создает следующие файлы
- C:\reviewbroker\tl9nm1bugawihbjdzbnu.exe
- %APPDATA%\adobe\adobe quikinstall.exe
- %APPDATA%\sun\watchdog.data
- %APPDATA%\vortex\watchdog.data
- %APPDATA%\obsidium\watchdog.data
- %APPDATA%\sun\yourphone.exe
- %APPDATA%\vortex\securityhealthservice.exe
- %APPDATA%\obsidium\runtime broker.exe
- %APPDATA%\notepad\media.zip
- C:\reviewbroker\system.lnk
- C:\reviewbroker\system.vbe
- %APPDATA%\notepad\system.vbe
- C:\reviewbroker\svccrt.exe
- C:\reviewbroker\lyqkqjpz9wucmvm3yds9t6mr5nwxua.bat
- C:\reviewbroker\watchdog.data
- C:\reviewbroker\starter.exe
- C:\reviewbroker\dogs\yourphone.exe
- C:\reviewbroker\dogs\securityhealthservice.exe
- C:\reviewbroker\dogs\runtime broker.exe
- C:\reviewbroker\dogs\adobe quikinstall.exe
- C:\reviewbroker\dclib\rs2300f068121707def35df4f7b5d2bc8a016bd37f.dclib
- C:\reviewbroker\jmwwyng9afztnh9z9jwyvlm3ic9qpn.bat
- C:\reviewbroker\oraullozsxbjqhm3v9zy2jroym6wev.vbs
- C:\reviewbroker\vmcheck32.dll
- %TEMP%\dclib\rs2300f068121707def35df4f7b5d2bc8a016bd37f.dclib
Сетевая активность
TCP
Запросы HTTP GET
- http://xs#####.temp.swtest.ru/6qo5me/2d5bm0tkqb7q1a74p3zj1u76gdrujxvv8geoikiqbw1nul5bspqcj04wahr82v4z3xeseod8lgmh9wwmbey6th7/36c51afa23639996e01971cf2783294dd917e195.php?2d#####################...
- http://xs#####.temp.swtest.ru/6qo5me/2d5bm0tkqb7q1a74p3zj1u76gdrujxvv8geoikiqbw1nul5bspqcj04wahr82v4z3xeseod8lgmh9wwmbey6th7/36c51afa23639996e01971cf2783294dd917e195.php?f7#####################...
- http://xs#####.temp.swtest.ru/6qo5me/2d5bm0tkqb7q1a74p3zj1u76gdrujxvv8geoikiqbw1nul5bspqcj04wahr82v4z3xeseod8lgmh9wwmbey6th7/m1q4c9gsmznirs0ybyu5ly8qfdvqjl3a3fzf0bk6e4xi59hw73d22a/19c7041094b35...
- http://ip##fo.io/ip
UDP
- DNS ASK xs#####.temp.swtest.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\reviewbroker\ORAUlLoZsxbjqhM3v9ZY2jROyM6wEV.vbs"
- 'C:\reviewbroker\tl9nm1bugawihbjdzbnu.exe' -p73a961de559fa848f7b96c51642c7cac5993a661
- '%WINDIR%\syswow64\wscript.exe' "C:\reviewbroker\System.vbe"
- 'C:\reviewbroker\starter.exe'
- 'C:\reviewbroker\svccrt.exe'
- '%APPDATA%\adobe\adobe quikinstall.exe'
- '%APPDATA%\vortex\securityhealthservice.exe'
- '%APPDATA%\sun\yourphone.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewbroker\JMwWynG9AfZTnH9Z9jwYVLM3Ic9QPn.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewbroker\lYQKqJPZ9wuCmvM3yDS9T6mR5NwXUa.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewbroker\JMwWynG9AfZTnH9Z9jwYVLM3Ic9QPn.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewbroker\lYQKqJPZ9wuCmvM3yDS9T6mR5NwXUa.bat" "
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe
