Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'YUHPGKTY.exe' = 'C:\Users\Public\Documents\EV99te41rgatxnK80OM4\YUHPGKTY.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\tlyggswy.vbs
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- <Текущая директория>\tdfojxrfw.ini
- C:\users\public\documents\ev99te41rgatxnk80om4\ojerchqm.exe
- C:\users\public\documents\ev99te41rgatxnk80om4\distribute.exe
- C:\users\public\documents\ev99te41rgatxnk80om4\ssleay32.dll
- C:\users\public\documents\ev99te41rgatxnk80om4\mpr.dll
- C:\users\public\documents\ev99te41rgatxnk80om4\libeay32.dll
- C:\users\public\documents\ev99te41rgatxnk80om4\d58euf7n7em47og7vlri.zip
- C:\users\public\documents\ev99te41rgatxnk80om4\ptbo1xpy6qgz860q6kt5.exe
- C:\users\public\documents\ev99te41rgatxnk80om4\yuhpgkty.exe
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\nl11fzfv\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\4zsuucoq\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n980472g\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qqyda98w\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- C:\users\public\documents\ev99te41rgatxnk80om4\tdfojxrfw.ini
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qqyda98w\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n980472g\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\4zsuucoq\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\nl11fzfv\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- C:\users\public\documents\ev99te41rgatxnk80om4\ojerchqm.exe
- C:\users\public\documents\ev99te41rgatxnk80om4\tdfojxrfw.ini
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK co#########.s3.us-east-2.amazonaws.com
- DNS ASK microsoft.com
- DNS ASK docs.google.com
- DNS ASK bi#.ly
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'C:\Users\Public\Documents\EV99te41rgatxnK80OM4\Distribute.exe'
- ClassName: '' WindowName: 'C:\Users\Public\Documents\EV99te41rgatxnK80OM4\OJERCHQM.exe'
- ClassName: '' WindowName: 'C:\Users\Public\Documents\EV99te41rgatxnK80OM4\YUHPGKTY.exe'
- ClassName: 'MozillaWindowClass' WindowName: 'Sicredi - Instituição financeira cooperativa - Mozilla Firefox'
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- 'C:\users\public\documents\ev99te41rgatxnk80om4\ptbo1xpy6qgz860q6kt5.exe' x "C:\Users\Public\Documents\EV99te41rgatxnK80OM4\D58eUF7N7EM47oG7vlRi.zip" -o"C:\Users\Public\Documents\EV99te41rgatxnK80OM4" -p535253
- 'C:\users\public\documents\ev99te41rgatxnk80om4\distribute.exe'
- 'C:\users\public\documents\ev99te41rgatxnk80om4\ojerchqm.exe'
- 'C:\users\public\documents\ev99te41rgatxnk80om4\yuhpgkty.exe'
- '%WINDIR%\syswow64\cmd.exe' /C start C:\Users\Public\Documents\EV99te41rgatxnK80OM4\Distribute.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\cmd.exe' /C start C:\Users\Public\Documents\EV99te41rgatxnK80OM4\Distribute.exe
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://bit.ly/3f8scM1
