Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe QuikInstall' = '%APPDATA%\Adobe\Adobe QuikInstall.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\d3cce3bcf9df4bad4d19eb93b038384e
Изменения в файловой системе
Создает следующие файлы
- C:\perfmonitor\3eehliteuvcinmfoalfv.exe
- %APPDATA%\sun\watchdog.data
- %APPDATA%\vortex\watchdog.data
- %APPDATA%\obsidium\watchdog.data
- %APPDATA%\sun\yourphone.exe
- %APPDATA%\vortex\securityhealthservice.exe
- %APPDATA%\obsidium\runtime broker.exe
- %APPDATA%\notepad\media.zip
- C:\perfmonitor\system.lnk
- C:\perfmonitor\system.vbe
- %APPDATA%\adobe\adobe quikinstall.exe
- C:\perfmonitor\savesref.exe
- C:\perfmonitor\zn1dfgrnxpxfippfgvhxnpjnrzjjko.bat
- C:\perfmonitor\watchdog.data
- C:\perfmonitor\starter.exe
- C:\perfmonitor\dogs\yourphone.exe
- C:\perfmonitor\dogs\securityhealthservice.exe
- C:\perfmonitor\dogs\runtime broker.exe
- C:\perfmonitor\dogs\adobe quikinstall.exe
- C:\perfmonitor\54vhheqx3nm72gkp67f1gx9q5q5nex.bat
- C:\perfmonitor\4pbhnlrtg31ydgxpoa4ttlexpp596t.vbs
- C:\perfmonitor\vmcheck32.dll
- %APPDATA%\notepad\system.vbe
Сетевая активность
TCP
Запросы HTTP GET
- http://ce#######abs.000webhostapp.com/p9cy5ap81c29aqk11edc4xnqiwa37vh5admo/kheje/9c6a4186a6c86df99d74f20c0d9ff8a90b834e93.php?e4################################
UDP
- DNS ASK ce#######abs.000webhostapp.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\perfmonitor\4pbhNLrtG31YdGxPOA4tTlexPp596T.vbs"
- 'C:\perfmonitor\3eehliteuvcinmfoalfv.exe' -p5fd59d580d0f5da6a90cdd48f953efe46a29015c
- '%WINDIR%\syswow64\wscript.exe' "C:\perfmonitor\System.vbe"
- 'C:\perfmonitor\starter.exe'
- 'C:\perfmonitor\savesref.exe'
- '%APPDATA%\adobe\adobe quikinstall.exe'
- '%APPDATA%\vortex\securityhealthservice.exe'
- '%APPDATA%\sun\yourphone.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\54VhHeqX3NM72gkP67f1GX9Q5Q5NEX.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\zN1dfGrNXPxfippfgvhXnpJNrzjJKO.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\54VhHeqX3NM72gkP67f1GX9Q5Q5NEX.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\perfmonitor\zN1dfGrNXPxfippfgvhXnpJNrzjJKO.bat" "
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe
