Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsma9c7.tmp\sibuia.dll
- %TEMP%\6xquudbezi\_files\_cookies\opera.txt
- %TEMP%\6xquudbezi\files_\cookies\opera.txt
- %TEMP%\6xquudbezi\c5jmn.tmp
- %TEMP%\6xquudbezi\fehs8.tmp
- %TEMP%\6xquudbezi\_files\_allforms_list.txt
- %TEMP%\6xquudbezi\files_\forms.txt
- %TEMP%\6xquudbezi\c5jmn.tmp-shm
- %TEMP%\6xquudbezi\files_\cookies\mozilla_firefox.txt
- %TEMP%\aaelfrulfyrm.exe
- %TEMP%\6xquudbezi\_files\_screen_desktop.jpeg
- %TEMP%\6xquudbezi\_files\_information.txt
- %TEMP%\6xquudbezi\files_\screenshot.jpg
- %TEMP%\6xquudbezi\files_\system_info.txt
- %TEMP%\6xquudbezi\7kqlbn02otxi.zip
- %TEMP%\6xquudbezi\k0wn8k1zthnzu.zip
- %TEMP%\sibaae1.tmp\2\loader_1.exe
- %TEMP%\6xquudbezi\216b.tmp
- %TEMP%\6xquudbezi\_files\_cookies\mozilla_firefox.txt
- %TEMP%\6xquudbezi\z8w1a8.tmp
- %TEMP%\6xquudbezi\fzu8.tmp
- %TEMP%\sibaae1.tmp\sibca.dll
- %TEMP%\sibaae1.tmp\sibclr.dll
- %TEMP%\sibaae1.tmp\0\pub1.vbs
- %TEMP%\sibaae1.tmp\1\1.exe
- %TEMP%\6xquudbezi\pifg0x.tmp
- %TEMP%\6xquudbezi\lyfe.tmp
- %TEMP%\6xquudbezi\uyhz.tmp
- %TEMP%\6xquudbezi\svwoes.tmp
- %TEMP%\6xquudbezi\files_\cookies.txt
- %TEMP%\6xquudbezi\1iafqn.tmp
- %TEMP%\6xquudbezi\peqh.tmp
- %TEMP%\6xquudbezi\b2ceb.tmp
- %TEMP%\6xquudbezi\suqc.tmp
- %TEMP%\6xquudbezi\_files\_cookies\google_chrome.txt
- %TEMP%\6xquudbezi\files_\cookies\google_chrome.txt
- %TEMP%\6xquudbezi\_files\_allcookies_list.txt
- %TEMP%\6xquudbezi\xijf.tmp
- %TEMP%\qmcdpiu.exe
Удаляет следующие файлы
- %TEMP%\6xquudbezi\c5jmn.tmp-shm
- %TEMP%\sibaae1.tmp\sibca.dll
- %TEMP%\sibaae1.tmp\2\loader_1.exe
- %TEMP%\sibaae1.tmp\0\pub1.vbs
- %TEMP%\sibaae1.tmp\1\1.exe
- %TEMP%\6xquudbezi\_files\_cookies\opera.txt
- %TEMP%\6xquudbezi\z8w1a8.tmp
- %TEMP%\6xquudbezi\xijf.tmp
- %TEMP%\6xquudbezi\uyhz.tmp
- %TEMP%\6xquudbezi\svwoes.tmp
- %TEMP%\6xquudbezi\suqc.tmp
- %TEMP%\sibaae1.tmp\sibclr.dll
- %TEMP%\6xquudbezi\pifg0x.tmp
- %TEMP%\6xquudbezi\lyfe.tmp
- %TEMP%\6xquudbezi\fzu8.tmp
- %TEMP%\6xquudbezi\files_\forms.txt
- %TEMP%\6xquudbezi\files_\cookies.txt
- %TEMP%\6xquudbezi\files_\cookies\opera.txt
- %TEMP%\6xquudbezi\fehs8.tmp
- %TEMP%\6xquudbezi\c5jmn.tmp
- %TEMP%\6xquudbezi\b2ceb.tmp
- %TEMP%\6xquudbezi\216b.tmp
- %TEMP%\6xquudbezi\1iafqn.tmp
- %TEMP%\6xquudbezi\peqh.tmp
- %TEMP%\nsma9c7.tmp\sibuia.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://xe###load01.top/download.php?fi########
- http://xe###load01.top/downfiles/6.exe
- http://xe###load01.top/downfiles/4.exe
Запросы HTTP POST
- http://nk###w13.top/index.php
- http://mo###ss08.top/index.php
UDP
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK nk###w13.top
- DNS ASK mo###ss08.top
- DNS ASK xe###load01.top
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\sibaae1.tmp\1\1.exe' /s
- '%TEMP%\sibaae1.tmp\2\loader_1.exe' /s
- '%TEMP%\aaelfrulfyrm.exe'
- '%TEMP%\qmcdpiu.exe'
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\6XqUudbEzi & timeout 2 & del /f /q "%TEMP%\sibAAE1.tmp\1\1.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\aaelfrulfyrm.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\qmcdpiu.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cscript.exe' pub1.vbs //e:vbscript //NOLOGO
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\6XqUudbEzi & timeout 2 & del /f /q "%TEMP%\sibAAE1.tmp\1\1.exe"
- '%WINDIR%\syswow64\timeout.exe' 2
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\aaelfrulfyrm.exe"
- '%WINDIR%\syswow64\cmd.exe' /c start "" "%TEMP%\qmcdpiu.exe"
