Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\nslookup.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\3-7
- %TEMP%\t5vbjzkugav\bdynx.tmp
- %TEMP%\t5vbjzkugav\jsqtm6.tmp
- %TEMP%\t5vbjzkugav\_files\_cookies\opera.txt
- %TEMP%\t5vbjzkugav\files_\cookies\opera.txt
- %TEMP%\t5vbjzkugav\c5jmn.tmp
- %TEMP%\t5vbjzkugav\fehs8.tmp
- %TEMP%\t5vbjzkugav\_files\_allforms_list.txt
- %TEMP%\t5vbjzkugav\c5jmn.tmp-shm
- %TEMP%\t5vbjzkugav\veiu3xmrecyqn.zip
- %TEMP%\t5vbjzkugav\_files\_cookies\mozilla_firefox.txt
- %TEMP%\t5vbjzkugav\files_\cookies\mozilla_firefox.txt
- %TEMP%\t5vbjzkugav\_files\_screen_desktop.jpeg
- %TEMP%\t5vbjzkugav\_files\_information.txt
- %TEMP%\t5vbjzkugav\files_\screenshot.jpg
- %TEMP%\t5vbjzkugav\files_\system_info.txt
- %TEMP%\t5vbjzkugav\6bahfdbsy7.zip
- %TEMP%\t5vbjzkugav\eudc8.tmp
- %TEMP%\t5vbjzkugav\files_\forms.txt
- %TEMP%\t5vbjzkugav\files_\cookies.txt
- %TEMP%\t5vbjzkugav\qyplj.tmp
- %TEMP%\ixp000.tmp\7-0
- %TEMP%\ixp000.tmp\69-95
- %TEMP%\ixp000.tmp\90-7
- %TEMP%\ixp000.tmp\5-51
- %TEMP%\ixp000.tmp\rundll32.com
- %TEMP%\ixp000.tmp\n
- %TEMP%\t5vbjzkugav\8cwmu.tmp
- %TEMP%\t5vbjzkugav\xuyl6a.tmp
- %TEMP%\t5vbjzkugav\files_\cookies\google_chrome.txt
- %TEMP%\t5vbjzkugav\5xlcya.tmp
- %TEMP%\t5vbjzkugav\zkp2fi.tmp
- %TEMP%\t5vbjzkugav\ehan.tmp
- %TEMP%\t5vbjzkugav\ykb0ti.tmp
- %TEMP%\t5vbjzkugav\8jdiyu.tmp
- %TEMP%\t5vbjzkugav\wala.tmp
- %TEMP%\t5vbjzkugav\_files\_cookies\google_chrome.txt
- %TEMP%\t5vbjzkugav\_files\_allcookies_list.txt
- %TEMP%\file2.exe
Удаляет следующие файлы
- %TEMP%\ixp000.tmp\n
- %TEMP%\t5vbjzkugav\ykb0ti.tmp
- %TEMP%\t5vbjzkugav\xuyl6a.tmp
- %TEMP%\t5vbjzkugav\wala.tmp
- %TEMP%\t5vbjzkugav\qyplj.tmp
- %TEMP%\t5vbjzkugav\jsqtm6.tmp
- %TEMP%\t5vbjzkugav\files_\forms.txt
- %TEMP%\t5vbjzkugav\files_\cookies.txt
- %TEMP%\t5vbjzkugav\files_\cookies\opera.txt
- %TEMP%\t5vbjzkugav\fehs8.tmp
- %TEMP%\t5vbjzkugav\eudc8.tmp
- %TEMP%\t5vbjzkugav\ehan.tmp
- %TEMP%\t5vbjzkugav\c5jmn.tmp
- %TEMP%\t5vbjzkugav\bdynx.tmp
- %TEMP%\t5vbjzkugav\8jdiyu.tmp
- %TEMP%\t5vbjzkugav\8cwmu.tmp
- %TEMP%\t5vbjzkugav\5xlcya.tmp
- %TEMP%\t5vbjzkugav\c5jmn.tmp-shm
- %TEMP%\ixp000.tmp\rundll32.com
- %TEMP%\ixp000.tmp\5-51
- %TEMP%\ixp000.tmp\3-7
- %TEMP%\ixp000.tmp\7-0
- %TEMP%\ixp000.tmp\90-7
- %TEMP%\ixp000.tmp\69-95
- %TEMP%\t5vbjzkugav\zkp2fi.tmp
- %TEMP%\t5vbjzkugav\_files\_cookies\opera.txt
Сетевая активность
TCP
Запросы HTTP GET
- http://fs####rttload01.top/download.php?fi#########
- http://fs####rttload01.top/downfiles/lm.exe
Запросы HTTP POST
- http://le###is05.top/index.php
- http://mo###fdd04.top/index.php
UDP
- DNS ASK Zk##x.Zkisx
- DNS ASK yf#######qZrNy.yfASGLZIkqZrNy
- DNS ASK le###is05.top
- DNS ASK mo###fdd04.top
- DNS ASK fs####rttload01.top
Другое
Создает и запускает на исполнение
- '%TEMP%\ixp000.tmp\rundll32.com' N
- '%TEMP%\file2.exe'
- '%WINDIR%\syswow64\cmd.exe' /c zZTg' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c certutil -decode 90-7 5-51 & cmd < 5-51' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\t5vbJZkugAv & timeout 2 & del /f /q "%WINDIR%\SysWOW64\nslookup.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c zZTg
- '%WINDIR%\syswow64\cmd.exe' /c certutil -decode 90-7 5-51 & cmd < 5-51
- '%WINDIR%\syswow64\certutil.exe' -decode 90-7 5-51
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\ping.exe' -n 1 Zkisx.Zkisx
- '%WINDIR%\syswow64\findstr.exe' /V /R "^NyWEbKjVdavyT$" 3-7
- '%WINDIR%\syswow64\certutil.exe' -decode 7-0 N
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 30
- '%WINDIR%\syswow64\nslookup.exe'
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\t5vbJZkugAv & timeout 2 & del /f /q "%WINDIR%\SysWOW64\nslookup.exe"
- '%WINDIR%\syswow64\timeout.exe' 2
