Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\idle
- <SYSTEM32>\tasks\taskhost
- <SYSTEM32>\tasks\conhost
- <SYSTEM32>\tasks\dwm
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\svchost.exe
- C:\far2\plugins\ahveghsr2p
- C:\far2\plugins\u0tk3prbwr
- C:\far2\plugins\23gyvzdom4
- C:\far2\plugins\iwo2umeprt
- C:\far2\plugins\vcwk2ffgdp
- C:\far2\plugins\3gkmcnfqbm
- C:\far2\plugins\hebpmfoojp
- C:\far2\plugins\wnbfizhvwo
- C:\far2\plugins\rg54yhiqdo
- C:\far2\plugins\i6mbfqhbhb
- C:\far2\plugins\kblqt3iqpp
- C:\far2\plugins\b0qovairot
- C:\far2\plugins\bibghpvr5v
- C:\far2\plugins\yy5zp5ufys
- C:\far2\plugins\yiifrmx1qq
- C:\far2\plugins\jhwvv821gh
- C:\far2\plugins\sdg5ldbaug
- C:\far2\plugins\cqdjusco9p
- C:\far2\plugins\4ddatuibro
- C:\far2\plugins\fez7kl1d3m
- C:\far2\plugins\pfok1ubfok
- C:\far2\plugins\qf9afgvskj
- C:\far2\plugins\0l6vdjsibi
- C:\far2\plugins\rsomnnuwbn
- C:\far2\plugins\nyy7wtxopt
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- C:\far2\plugins\fov3yiyhkt
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- C:\far2\plugins\t33icph2yp
- C:\far2\plugins\5lbtvkq72d
- C:\far2\plugins\f04gy0a0y8
- C:\far2\plugins\ufw9xat3rk
- C:\far2\plugins\oteljoenrn
- C:\far2\plugins\hlwxue1mpb
- C:\far2\plugins\tbmgzc1avk
- C:\far2\plugins\cgakqt9ho0
- C:\far2\plugins\d97ftpzqay
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\h0l1rsrf\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ifguzgcb\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\4m7jirwq\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %TEMP%\rarsfx0\gh injector config.ini
- %TEMP%\wininto\uwcaveprbfhqnoqcvqv3fec4stpmfh.bat
- %TEMP%\wininto\uamlpdxiafohiaxbvhqd8fc6txbzck.vbe
- %TEMP%\wininto\l71u63ybeu8yi3uxfd0z.exe
- %TEMP%\rarsfx0\gh injector - x64.exe
- %TEMP%\rarsfx0\gh injector - x64.dll
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\8cv33co4\desktop.ini
- %TEMP%\wininto\cfflmif4agm4rqfckktctgizqrzixi.bat
- C:\far2\plugins\kblazyqm5a
- %TEMP%\wininto\driverruntime.exe
- C:\far2\plugins\8z6pxsugun
- C:\far2\plugins\4cbk9ztrwz
- C:\far2\plugins\j6xbidi6uz
- C:\far2\plugins\s1r9owywko
- C:\far2\plugins\ueodem6rfn
- C:\far2\plugins\jbgyjynvf9
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- C:\far2\plugins\kpmgmmsngh
- C:\far2\plugins\y1t839nmiq
- C:\far2\plugins\dwm.exe
- %ProgramFiles%\ashchest\conhost.exe
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\taskhost.exe
- %TEMP%\a798ccaa262d3da4a9b25c184358e798
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\idle.exe
- %TEMP%\wininto\dlmrl5m6npzjscqicqqylaz1z1mvmg.vbe
- C:\far2\plugins\thkac4hb3p
- C:\far2\plugins\cblcyv7w4t
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\4m7jirwq\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ifguzgcb\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\h0l1rsrf\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\8cv33co4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Удаляет следующие файлы
- C:\far2\plugins\y1t839nmiq
- C:\far2\plugins\iwo2umeprt
- C:\far2\plugins\23gyvzdom4
- C:\far2\plugins\u0tk3prbwr
- C:\far2\plugins\ahveghsr2p
- C:\far2\plugins\cqdjusco9p
- C:\far2\plugins\4ddatuibro
- C:\far2\plugins\hlwxue1mpb
- C:\far2\plugins\oteljoenrn
- C:\far2\plugins\cgakqt9ho0
- C:\far2\plugins\ufw9xat3rk
- C:\far2\plugins\5lbtvkq72d
- C:\far2\plugins\t33icph2yp
- C:\far2\plugins\nyy7wtxopt
- C:\far2\plugins\rsomnnuwbn
- C:\far2\plugins\0l6vdjsibi
- C:\far2\plugins\qf9afgvskj
- C:\far2\plugins\pfok1ubfok
- C:\far2\plugins\fez7kl1d3m
- C:\far2\plugins\3gkmcnfqbm
- C:\far2\plugins\vcwk2ffgdp
- C:\far2\plugins\hebpmfoojp
- C:\far2\plugins\wnbfizhvwo
- C:\far2\plugins\rg54yhiqdo
- C:\far2\plugins\thkac4hb3p
- C:\far2\plugins\jbgyjynvf9
- C:\far2\plugins\ueodem6rfn
- C:\far2\plugins\s1r9owywko
- C:\far2\plugins\j6xbidi6uz
- C:\far2\plugins\4cbk9ztrwz
- C:\far2\plugins\8z6pxsugun
- C:\far2\plugins\kblazyqm5a
- C:\far2\plugins\kpmgmmsngh
- C:\far2\plugins\f04gy0a0y8
- C:\far2\plugins\d97ftpzqay
- C:\far2\plugins\jhwvv821gh
- C:\far2\plugins\sdg5ldbaug
- C:\far2\plugins\yiifrmx1qq
- C:\far2\plugins\yy5zp5ufys
- C:\far2\plugins\bibghpvr5v
- C:\far2\plugins\b0qovairot
- C:\far2\plugins\kblqt3iqpp
- C:\far2\plugins\i6mbfqhbhb
- C:\far2\plugins\fov3yiyhkt
- C:\far2\plugins\tbmgzc1avk
- C:\far2\plugins\cblcyv7w4t
Сетевая активность
TCP
Запросы HTTP GET
- http://pa###bin.com/raw/npsqXhuQ
- http://u5#######n.ha004.t.justns.ru/gdejdjzzpl8gmyetcwo8k76ahtnj6gghn0kg6rssarfcwamb8w/8u6qwe2028cgbc5youvgd21zsbrx351qg454vz0ay70c7xxr5/faa016cf6170a18f9a78f15e3b3c24602cbe6d17.php?5c#########...
- http://u5#######n.ha004.t.justns.ru/gdejdjzzpl8gmyetcwo8k76ahtnj6gghn0kg6rssarfcwamb8w/8u6qwe2028cgbc5youvgd21zsbrx351qg454vz0ay70c7xxr5/faa016cf6170a18f9a78f15e3b3c24602cbe6d17.php?1f#########...
- http://u5#######n.ha004.t.justns.ru/gdejdjzzpl8gmyetcwo8k76ahtnj6gghn0kg6rssarfcwamb8w/8u6qwe2028cgbc5youvgd21zsbrx351qg454vz0ay70c7xxr5/mt1hq9p85reonrdp0u5nfpbq9jkt9wwjk/9bffcf4ed5979dd4111f28...
UDP
- DNS ASK pa###bin.com
- DNS ASK u5#######n.ha004.t.justns.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\svchost.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\wininto\uamlPdxiAfoHiaXbVHQd8FC6tXbzcK.vbe"
- '%TEMP%\rarsfx0\gh injector - x64.exe'
- '%TEMP%\wininto\l71u63ybeu8yi3uxfd0z.exe' -p2eb91c6c49bed847a614425387f3bf3c384b2f9c
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\wininto\DLMrL5M6nPZJsCqIcQqYLaz1Z1MVmG.vbe"
- '%TEMP%\wininto\driverruntime.exe'
- 'C:\far2\plugins\dwm.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\wininto\UWCaVePrBFhQNoqCvqv3fEC4sTpmfh.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\wininto\Cfflmif4AGM4rQFCKKTctGIZqrzIXi.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\wininto\UWCaVePrBFhQNoqCvqv3fEC4sTpmfh.bat" "
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\wininto\Cfflmif4AGM4rQFCKKTctGIZqrzIXi.bat" "
- '<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "conhost" /sc ONLOGON /tr "'%ProgramFiles%\ashchest\conhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Far2\Plugins\dwm.exe'" /rl HIGHEST /f
