Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe QuikInstall' = '%APPDATA%\Adobe\Adobe QuikInstall.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\d3cce3bcf9df4bad4d19eb93b038384e
Изменения в файловой системе
Создает следующие файлы
- C:\perfmonitor\noac3gijupgzjy4ld5au.exe
- %APPDATA%\adobe\adobe quikinstall.exe
- %APPDATA%\sun\watchdog.data
- %APPDATA%\vortex\watchdog.data
- %APPDATA%\obsidium\watchdog.data
- %APPDATA%\sun\yourphone.exe
- %APPDATA%\vortex\securityhealthservice.exe
- %APPDATA%\obsidium\runtime broker.exe
- %APPDATA%\notepad\media.zip
- C:\perfmonitor\system.vbe
- C:\perfmonitor\system.lnk
- C:\perfmonitor\savesref.exe
- C:\perfmonitor\d581ptw1tzqdufvs7e5gztoulpvrxd.bat
- C:\perfmonitor\watchdog.data
- C:\perfmonitor\starter.exe
- C:\perfmonitor\dogs\yourphone.exe
- C:\perfmonitor\dogs\securityhealthservice.exe
- C:\perfmonitor\dogs\runtime broker.exe
- C:\perfmonitor\dogs\adobe quikinstall.exe
- C:\perfmonitor\1qdin0pn74if8dg3tqh0egkcvl6aw3.bat
- C:\perfmonitor\tb6ltqpqhddmri5znc0ufuzbuxua30.vbs
- C:\perfmonitor\vmcheck32.dll
- %APPDATA%\notepad\system.vbe
Сетевая активность
TCP
Запросы HTTP GET
- http://82.##6.58.151/m4dkri311mjlpbyp5uy755n0m7g1he2gz1ixk0ka4fqiydca3y7k92f05hg1uzozr8dwsh98owl2qetdp6b4js/f5lju7bn/802064913ae22a2ca7501a36f8f9e85110f7828d.php?bf#############################...
- http://82.##6.58.151/m4dkri311mjlpbyp5uy755n0m7g1he2gz1ixk0ka4fqiydca3y7k92f05hg1uzozr8dwsh98owl2qetdp6b4js/f5lju7bn/802064913ae22a2ca7501a36f8f9e85110f7828d.php?6e#############################...
- http://82.##6.58.151/m4dkri311mjlpbyp5uy755n0m7g1he2gz1ixk0ka4fqiydca3y7k92f05hg1uzozr8dwsh98owl2qetdp6b4js/f5lju7bn/lh9gkqwrei1elv14coi1fhgtesiee25ldf1xlqjyzmdkb2r0/77b614ad9ec7ce56b9629885ee5...
- http://ip##fo.io/ip
UDP
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\perfmonitor\TB6LTqpqhDDMrI5ZnC0ufUzBUXUa30.vbs"
- 'C:\perfmonitor\noac3gijupgzjy4ld5au.exe' -pe8627f6c4237d80b7a6b15af5a477a0a5d39c53c
- '%WINDIR%\syswow64\wscript.exe' "C:\perfmonitor\System.vbe"
- 'C:\perfmonitor\starter.exe'
- 'C:\perfmonitor\savesref.exe'
- '%APPDATA%\adobe\adobe quikinstall.exe'
- '%APPDATA%\vortex\securityhealthservice.exe'
- '%APPDATA%\sun\yourphone.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\1QDin0PN74IF8dG3TqH0egkCVl6aw3.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\d581PtW1tzqDuFVs7E5GZToulPVrxD.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\1QDin0PN74IF8dG3TqH0egkCVl6aw3.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\d581PtW1tzqDuFVs7E5GZToulPVrxD.bat" "
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe
