Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\autd806.tmp
- %TEMP%\autf7ae.tmp
- %TEMP%\w~3702.tmp
- %TEMP%\autef92.tmp
- %TEMP%\showefi.dl_
- %TEMP%\autec08.tmp
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lu10rk9j\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\e00b0v0r\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n64xcul9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\j8x92pm9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %TEMP%\grubinst.exe
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %TEMP%\okup.tmp
- %TEMP%\showdrive.dl_
- %TEMP%\aute3cd.tmp
- %TEMP%\h~6855.tmp
- %TEMP%\aute208.tmp
- %TEMP%\isodrv64.sys
- %TEMP%\autd8e3.tmp
- %TEMP%\isodrv.dll
- %TEMP%\autd8d2.tmp
- %TEMP%\jdrcqlw
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %TEMP%\mbr.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\j8x92pm9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\n64xcul9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\e00b0v0r\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lu10rk9j\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Удаляет следующие файлы
- %TEMP%\autd806.tmp
- %TEMP%\mbr.tmp
- %TEMP%\autf7ae.tmp
- %TEMP%\w~3702.tmp
- %TEMP%\autef92.tmp
- %TEMP%\showefi.dl_
- %TEMP%\showdrive.dl_
- %TEMP%\grubinst.exe
- %TEMP%\autec08.tmp
- %TEMP%\aute208.tmp
- %TEMP%\isodrv64.sys
- %TEMP%\isodrv.dll
- %TEMP%\autd8e3.tmp
- %TEMP%\autd8d2.tmp
- %TEMP%\jdrcqlw
- %TEMP%\aute3cd.tmp
- %TEMP%\okup.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://gh###.onekey.cc/OKinfo/OKinfo.asp
UDP
- DNS ASK gh###.onekey.cc
Другое
Создает и запускает на исполнение
- '%TEMP%\isodrv.dll' -Print
- '%TEMP%\showdrive.dl_' *
- '%TEMP%\showefi.dl_'
- '%TEMP%\w~3702.tmp' -a/part
- '%TEMP%\grubinst.exe' --read-only --save=MBR.tmp (hd0)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ISODrv.dll -Print' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ShowDrive.dl_ *' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ShowEFI.dl_' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\W~3702.tmp -a/part' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\grubinst.exe --read-only --save=MBR.tmp (hd0)' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ISODrv.dll -Print
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ShowDrive.dl_ *
- '<SYSTEM32>\cmd.exe' /c %TEMP%\ShowEFI.dl_
- '<SYSTEM32>\cmd.exe' /c %TEMP%\W~3702.tmp -a/part
- '<SYSTEM32>\cmd.exe' /c %TEMP%\grubinst.exe --read-only --save=MBR.tmp (hd0)
