Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SYSTEM380RUNNER.exe' = '<SYSTEM32>\SYSTEM380RUNNER.exe'
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1C00' = '{00,00,00,00}'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '{00,00,00,00}'
- [<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:9666'
- [<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '127.0.0.1'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\u998.exe
- %WINDIR%\syswow64\system380runner.exe
- %TEMP%\tgljpwziluik8p1h
- %TEMP%\diqujqtjitjk9d9n
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ywbbacyk\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7lulk9v0\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2x8ksdw4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\k7z141zf\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\system380runner.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ywbbacyk\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7lulk9v0\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\2x8ksdw4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\k7z141zf\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Сетевая активность
Подключается к
- 'go##le.info':80
- 'ap##m.com':80
- 'go##il.com':80
TCP
Запросы HTTP GET
- http://17#.#17.17.132/gwt/n?u=######################################################################################
UDP
- DNS ASK is##.##fuvrcb.blcg.info
- DNS ASK bi##.##uqwqdf.apuu.info
- DNS ASK vy##.##cfzzvc.90tv.info
- DNS ASK sw##.##fcadae.zerc.info
- DNS ASK lh##.##zzeuce.yybe.info
- DNS ASK wk##.##ztxvvq.zcsv.info
- DNS ASK tw##.##tqsysv.zeyy.info
- DNS ASK ls##.##xszfqz.z88z.info
- DNS ASK pv##.##exeabx.aiuh.info
- DNS ASK go##le.info
- DNS ASK ap##m.com
- DNS ASK go##il.com
Другое
Ищет следующие окна
- ClassName: 'WispWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\u998.exe'
- '%WINDIR%\syswow64\system380runner.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
