Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop issuser
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\install.bat
- %TEMP%\911widelan\isshook.dll
- %TEMP%\911widelan\issuifx.dll
- %TEMP%\911widelan\issuser.exe
- %TEMP%\911widelan\libeay32.dll
- %TEMP%\911widelan\libeay32mt.dll
- %TEMP%\911widelan\libeay32mtfips.dll
- %TEMP%\911widelan\microsoft.vc90.crt.manifest
- %TEMP%\911widelan\msvcr110.dll
- %TEMP%\911widelan\netstart.vbs
- %TEMP%\911widelan\netstop.vbs
- %TEMP%\911widelan\normaliz.dll
- %TEMP%\911widelan\rcgui.exe
- %TEMP%\911widelan\sleeper.vbs
- %TEMP%\911widelan\ssleay32.dll
- %TEMP%\911widelan\ssleay32mt.dll
- %TEMP%\911widelan\ssleay32mtfips.dll
- %TEMP%\911widelan\widelan.bmp
- %TEMP%\911widelan\widelan.hta
- %TEMP%\911widelan\widelan.ico
- %TEMP%\911widelan\widelan.jpg
- %TEMP%\911widelan\widelancleanup.vbs
- %TEMP%\911widelan\issclip.dll
- %TEMP%\issuser.log
- %TEMP%\911widelan\install.bat
- %TEMP%\rarsfx0\widelancleanup.vbs
- %TEMP%\rarsfx0\issclip.dll
- %TEMP%\rarsfx0\isshook.dll
- %TEMP%\rarsfx0\issuifx.dll
- %TEMP%\rarsfx0\issuser.exe
- %TEMP%\rarsfx0\libeay32.dll
- %TEMP%\rarsfx0\libeay32mt.dll
- %TEMP%\rarsfx0\libeay32mtfips.dll
- %TEMP%\rarsfx0\microsoft.vc90.crt.manifest
- %TEMP%\rarsfx0\msvcr110.dll
- %TEMP%\rarsfx0\netstart.vbs
- %TEMP%\rarsfx0\netstop.vbs
- %TEMP%\rarsfx0\normaliz.dll
- %TEMP%\rarsfx0\rcgui.exe
- %TEMP%\rarsfx0\sleeper.vbs
- %TEMP%\rarsfx0\ssleay32.dll
- %TEMP%\rarsfx0\ssleay32mt.dll
- %TEMP%\rarsfx0\ssleay32mtfips.dll
- %TEMP%\rarsfx0\widelan.bmp
- %TEMP%\rarsfx0\widelan.hta
- %TEMP%\rarsfx0\widelan.ico
- %TEMP%\rarsfx0\widelan.jpg
- nul
- %TEMP%\911widelan\rcgui.log
Удаляет следующие файлы
- %TEMP%\911widelan\normaliz.dll
- %TEMP%\rarsfx0\widelan.ico
- %TEMP%\rarsfx0\widelan.hta
- %TEMP%\rarsfx0\widelan.bmp
- %TEMP%\rarsfx0\ssleay32mtfips.dll
- %TEMP%\rarsfx0\ssleay32mt.dll
- %TEMP%\rarsfx0\ssleay32.dll
- %TEMP%\rarsfx0\sleeper.vbs
- %TEMP%\rarsfx0\rcgui.exe
- %TEMP%\rarsfx0\normaliz.dll
- %TEMP%\rarsfx0\netstop.vbs
- %TEMP%\rarsfx0\netstart.vbs
- %TEMP%\rarsfx0\msvcr110.dll
- %TEMP%\rarsfx0\microsoft.vc90.crt.manifest
- %TEMP%\rarsfx0\libeay32mtfips.dll
- %TEMP%\rarsfx0\libeay32mt.dll
- %TEMP%\rarsfx0\libeay32.dll
- %TEMP%\rarsfx0\issuser.exe
- %TEMP%\rarsfx0\issuifx.dll
- %TEMP%\rarsfx0\isshook.dll
- %TEMP%\rarsfx0\issclip.dll
- %TEMP%\rarsfx0\install.bat
- %TEMP%\rarsfx0\widelan.jpg
- %TEMP%\rarsfx0\widelancleanup.vbs
Перемещает следующие файлы
- %TEMP%\911widelan\widelan.hta в %TEMP%\widelan.hta
- %TEMP%\911widelan\widelancleanup.vbs в %TEMP%\widelancleanup.vbs
Сетевая активность
TCP
- 'localhost':9535
- 'localhost':49172
- '91#.##delans.com':443
UDP
- DNS ASK 91#.##delans.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'HTML Application Host Window Class' WindowName: ''
- ClassName: 'ISSLDWuserWndClass' WindowName: ''
- ClassName: 'PROGMAN' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\911WideLAN\netstop.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\911WideLAN\sleeper.vbs" 5000
- '%TEMP%\911widelan\issuser.exe' /b /oWideLAN /l911.widelans.com /videntifier1=user /videntifier2=10.0.34.26 /a60 /y0
- '%TEMP%\911widelan\rcgui.exe'
- '%WINDIR%\syswow64\net.exe' stop issuser' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\install.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ping -4 -n 1 mqdojzqfct | find "["
- '%WINDIR%\syswow64\ping.exe' -4 -n 1 mqdojzqfct
- '%WINDIR%\syswow64\find.exe' "["
- '%WINDIR%\syswow64\mshta.exe' "%TEMP%\WideLAN.hta" 10.0.34.26
- '%WINDIR%\syswow64\net1.exe' stop issuser
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%TEMP%\911widelan\issuser.exe"
