Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe QuikInstall' = '%APPDATA%\Adobe\Adobe QuikInstall.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\e4e840641a9a22e8914e660d77849b08
Изменения в файловой системе
Создает следующие файлы
- C:\dllfont\ibfnrmnydgsjcubojofx.exe
- %APPDATA%\sun\watchdog.data
- %APPDATA%\vortex\watchdog.data
- %APPDATA%\obsidium\watchdog.data
- %APPDATA%\sun\yourphone.exe
- %APPDATA%\vortex\securityhealthservice.exe
- %APPDATA%\obsidium\runtime broker.exe
- %APPDATA%\notepad\media.zip
- C:\dllfont\system.lnk
- C:\dllfont\system.vbe
- %APPDATA%\adobe\adobe quikinstall.exe
- C:\dllfont\svcruntime.exe
- C:\dllfont\oeq9sd3uwuav9fiwtrqz0icohcralm.bat
- C:\dllfont\watchdog.data
- C:\dllfont\starter.exe
- C:\dllfont\dogs\yourphone.exe
- C:\dllfont\dogs\securityhealthservice.exe
- C:\dllfont\dogs\runtime broker.exe
- C:\dllfont\dogs\adobe quikinstall.exe
- C:\dllfont\bfeqkmoqfzaulgx0txnjxixbq0bdoy.bat
- C:\dllfont\yqxnplkfc1myxfnmuhqzoju8dhytrm.vbs
- C:\dllfont\vmcheck32.dll
- %APPDATA%\notepad\system.vbe
Сетевая активность
TCP
Запросы HTTP GET
- http://82.##6.58.151/m4dkri311mjlpbyp5uy755n0m7g1he2gz1ixk0ka4fqiydca3y7k92f05hg1uzozr8dwsh98owl2qetdp6b4js/f5lju7bn/802064913ae22a2ca7501a36f8f9e85110f7828d.php?bf#############################...
- http://82.##6.58.151/m4dkri311mjlpbyp5uy755n0m7g1he2gz1ixk0ka4fqiydca3y7k92f05hg1uzozr8dwsh98owl2qetdp6b4js/f5lju7bn/802064913ae22a2ca7501a36f8f9e85110f7828d.php?6e#############################...
- http://82.##6.58.151/m4dkri311mjlpbyp5uy755n0m7g1he2gz1ixk0ka4fqiydca3y7k92f05hg1uzozr8dwsh98owl2qetdp6b4js/f5lju7bn/lh9gkqwrei1elv14coi1fhgtesiee25ldf1xlqjyzmdkb2r0/77b614ad9ec7ce56b9629885ee5...
- http://ip##fo.io/ip
UDP
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\dllfont\YqXNPLkfC1MyxFNMUHqZOju8DHYTRm.vbs"
- 'C:\dllfont\ibfnrmnydgsjcubojofx.exe' -p89b61fe69fa6e8a3e1bbc62c805ea56570b85292
- '%WINDIR%\syswow64\wscript.exe' "C:\dllfont\System.vbe"
- 'C:\dllfont\starter.exe'
- 'C:\dllfont\svcruntime.exe'
- '%APPDATA%\adobe\adobe quikinstall.exe'
- '%APPDATA%\vortex\securityhealthservice.exe'
- '%APPDATA%\sun\yourphone.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\dllfont\BfeqKMoQFzaUlgX0TXNjXixbq0BDoy.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\dllfont\OeQ9sD3uWuAv9FiWtRQz0iCohcRAlM.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\dllfont\BfeqKMoQFzaUlgX0TXNjXixbq0BDoy.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\dllfont\OeQ9sD3uWuAv9FiWtRQz0iCohcRAlM.bat" "
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe
- '%WINDIR%\syswow64\cmd.exe' /C C:/Media/fontreview.exe
