Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\timeout.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %PROGRAMDATA%\l1v1lrsuzml\_files\_screen_desktop.jpeg
- %PROGRAMDATA%\l1v1lrsuzml\_files\_cookies\mozilla_firefox.txt
- %PROGRAMDATA%\l1v1lrsuzml\mac.db-shm
- %PROGRAMDATA%\l1v1lrsuzml\mac.db
- %PROGRAMDATA%\l1v1lrsuzml\maa.db
- %PROGRAMDATA%\l1v1lrsuzml\_files\_cookies\opera.txt
- %PROGRAMDATA%\l1v1lrsuzml\_files\_allcookies_list.txt
- %PROGRAMDATA%\l1v1lrsuzml\_files\_cookies\google_chrome.txt
- %APPDATA%\opera software\opera stable\web dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %PROGRAMDATA%\sde\1_protected.exe
- %PROGRAMDATA%\ryqdaihatecb\4plpjl.txt
- %PROGRAMDATA%\sde\2_protected.exe
- %APPDATA%\indefendesstvd\perloadstat.exe
- %APPDATA%\indengreend\testoviyjuke.exe
- %APPDATA%\indengreend\test.exe
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- %PROGRAMDATA%\l1v1lrsuzml\_files\_information.txt
- %PROGRAMDATA%\l1v1lrsuzml\0gorbfuiyr3.zip
Удаляет следующие файлы
- %PROGRAMDATA%\ryqdaihatecb\4plpjl.txt
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
- %PROGRAMDATA%\l1v1lrsuzml\mac.db-shm
- %PROGRAMDATA%\sde\2_protected.exe
- %PROGRAMDATA%\l1v1lrsuzml\maa.db
- %PROGRAMDATA%\l1v1lrsuzml\mac.db
- %PROGRAMDATA%\l1v1lrsuzml\_files\_cookies\opera.txt
- %PROGRAMDATA%\sde\1_protected.exe
Подменяет следующие файлы
- %LOCALAPPDATA%\google\chrome\user data\default\login dataf
- %LOCALAPPDATA%\google\chrome\user data\default\cookiesf
- %LOCALAPPDATA%\google\chrome\user data\default\web dataf
- %APPDATA%\opera software\opera stable\login dataf
- %APPDATA%\opera software\opera stable\cookiesf
- %APPDATA%\opera software\opera stable\web dataf
Сетевая активность
Подключается к
- '2n#.co':443
- 'sa##t05.top':80
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://rr###oad08.top/download.php?fi###########
- http://rr###oad08.top/downfiles/file.exe
- http://gr###palace.top/brazi/testoviyjuke.exe
- http://gr###palace.top/fortestble/perloadstat.exe
- http://ip##pi.com/line
Запросы HTTP POST
- http://sa##t05.top/index.php
UDP
- DNS ASK ip###ger.org
- DNS ASK rr###oad08.top
- DNS ASK gr###palace.top
- DNS ASK ip##pi.com
- DNS ASK 2n#.co
- DNS ASK sa##t05.top
Другое
Ищет следующие окна
- ClassName: 'AutoHotkey' WindowName: '<Полный путь к файлу>'
- ClassName: 'AutoHotkey' WindowName: '%APPDATA%\indengreend\test.exe'
Создает и запускает на исполнение
- '%APPDATA%\indengreend\test.exe'
- '%PROGRAMDATA%\sde\2_protected.exe'
- '%PROGRAMDATA%\sde\1_protected.exe'
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\rYQdAihATeCb & timeout 3 & del /f /q "%PROGRAMDATA%\sde\2_protected.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\l1V1LrsUZML & timeout 2 & del /f /q "%PROGRAMDATA%\sde\1_protected.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\rYQdAihATeCb & timeout 3 & del /f /q "%PROGRAMDATA%\sde\2_protected.exe"
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %PROGRAMDATA%\l1V1LrsUZML & timeout 2 & del /f /q "%PROGRAMDATA%\sde\1_protected.exe"
- '%WINDIR%\syswow64\timeout.exe' 2
