Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\smartclock.lnk
- <SYSTEM32>\tasks\smart clock
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsr7b48.tmp\uac.dll
- %TEMP%\ixp000.tmp\msdtc.com
- %TEMP%\ixp000.tmp\04-9
- %TEMP%\ixp000.tmp\9-6
- %APPDATA%\smart clock\smartclock.exe
- %TEMP%\ixp000.tmp\4-60
- %TEMP%\ixp000.tmp\80-88
- %TEMP%\ixp000.tmp\22-24
- %TEMP%\ixp000.tmp\7-33
- %TEMP%\ixp000.tmp\69-2
- %TEMP%\ixp000.tmp\5-6
- %TEMP%\ixp000.tmp\5-85
- %TEMP%\ixp000.tmp\3-44
- %ProgramFiles(x86)%\loafer\makers\keyiso.dll
- %ProgramFiles(x86)%\loafer\makers\api-ms-win-base-bootconfig-l1-1-0.dll
- %ProgramFiles(x86)%\loafer\makers\adprovider.dll
- %ProgramFiles(x86)%\loafer\makers\admtmpl.dll
- %ProgramFiles(x86)%\loafer\makers\lm.exe
- %ProgramFiles(x86)%\loafer\ndadmin.exe
- %ProgramFiles(x86)%\loafer\ktmw32.dll
- %ProgramFiles(x86)%\loafer\6.exe
- %ProgramFiles(x86)%\loafer\4ty.exe
- %TEMP%\ixp000.tmp\w
- %TEMP%\ixp000.tmp\p
Удаляет следующие файлы
- %TEMP%\nsr7b48.tmp\uac.dll
- %TEMP%\ixp000.tmp\p
- %TEMP%\ixp000.tmp\80-88
- %TEMP%\ixp000.tmp\w
- %TEMP%\ixp000.tmp\5-6
- %TEMP%\ixp000.tmp\4-60
- %TEMP%\ixp000.tmp\22-24
- %TEMP%\ixp000.tmp\7-33
- %TEMP%\ixp000.tmp\04-9
- %TEMP%\ixp000.tmp\3-44
- %TEMP%\ixp000.tmp\5-85
- %TEMP%\ixp000.tmp\69-2
- %TEMP%\ixp000.tmp\msdtc.com
- %TEMP%\ixp000.tmp\9-6
Сетевая активность
UDP
- DNS ASK Rk####lus.RkqpYglus
- DNS ASK Tu####Slk.TutHRjSlk
- DNS ASK tv######viKP.tvLnuJXhviKP
- DNS ASK St###########qcnbHPGiWG.StiGaYirXLVOdqcnbHPGiWG
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\loafer\makers\lm.exe'
- '%ProgramFiles(x86)%\loafer\6.exe'
- '%ProgramFiles(x86)%\loafer\4ty.exe'
- '%APPDATA%\smart clock\smartclock.exe'
- '%TEMP%\ixp000.tmp\msdtc.com' W
- '%TEMP%\ixp000.tmp\msdtc.com' P
- '%WINDIR%\syswow64\cmd.exe' /c oELcr' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c XGUqGNJ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c certutil -decode 69-2 9-6 & cmd < 9-6' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c certutil -decode 4-60 04-9 & cmd < 04-9' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c oELcr
- '%WINDIR%\syswow64\cmd.exe' /c XGUqGNJ
- '%WINDIR%\syswow64\cmd.exe' /c certutil -decode 69-2 9-6 & cmd < 9-6
- '%WINDIR%\syswow64\cmd.exe' /c certutil -decode 4-60 04-9 & cmd < 04-9
- '%WINDIR%\syswow64\certutil.exe' -decode 69-2 9-6
- '%WINDIR%\syswow64\certutil.exe' -decode 4-60 04-9
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\ping.exe' -n 1 RkqpYglus.RkqpYglus
- '%WINDIR%\syswow64\ping.exe' -n 1 TutHRjSlk.TutHRjSlk
- '%WINDIR%\syswow64\certutil.exe' -decode 5-85 W
- '%WINDIR%\syswow64\certutil.exe' -decode 22-24 P
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 30
