Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\services
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\csrss
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- C:\totalcmd\language\wininit.exe
- C:\users\public\fcisrtitmc
- C:\users\public\vk5dfygejv
- C:\users\public\ugwmbn8kjd
- C:\users\public\v2luoyjoiz
- C:\users\public\4yljyasfrh
- C:\users\public\lkd11uctli
- C:\users\public\msd7vy80ac
- C:\users\public\6womxbbann
- C:\users\public\9oubqnluos
- C:\users\public\dar1k0wv2u
- C:\users\public\toi4vvskyn
- C:\users\public\8lryh31xiz
- C:\users\public\hmdghlpzdv
- C:\users\public\vcpauwb5v9
- <SYSTEM32>\smiengine\886983d96e3d3e31032c679b2d4ea91b6c05afef
- <SYSTEM32>\smiengine\csrss.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe
- <SYSTEM32>\mcewmdrmndbootstrap\480b7989c529f6ff17bde430d81d4770fb5337f5
- <SYSTEM32>\mcewmdrmndbootstrap\wudfhost.exe
- %ProgramFiles(x86)%\mozilla firefox\d3dcompiler_47\0fc223bdacedc38dd6d2772d547ade1563558e92
- %ProgramFiles(x86)%\mozilla firefox\d3dcompiler_47\firefox.exe
- C:\totalcmd\language\c5b4cb5e9653cce737f29f72ba880dd4c4bab27d
- C:\totalcmd\language\services.exe
- %ProgramFiles(x86)%\mozilla firefox\nss3\0fc223bdacedc38dd6d2772d547ade1563558e92
- %ProgramFiles(x86)%\mozilla firefox\nss3\firefox.exe
- C:\totalcmd\language\560854153607923c4c5f107085a7db67be01f252
- C:\users\public\kxlvyycjhk
- C:\users\public\ci5ywv6io0
Удаляет следующие файлы
- C:\users\public\vcpauwb5v9
- C:\users\public\hmdghlpzdv
- C:\users\public\8lryh31xiz
- C:\users\public\toi4vvskyn
- C:\users\public\dar1k0wv2u
- C:\users\public\9oubqnluos
- C:\users\public\6womxbbann
- C:\users\public\msd7vy80ac
- C:\users\public\lkd11uctli
- C:\users\public\4yljyasfrh
- C:\users\public\v2luoyjoiz
- C:\users\public\ugwmbn8kjd
- C:\users\public\vk5dfygejv
- C:\users\public\fcisrtitmc
- C:\users\public\kxlvyycjhk
- C:\users\public\ci5ywv6io0
Сетевая активность
Подключается к
- 'a0####60.xsph.ru':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://a0####60.xsph.ru/PhpUpdateasync.php?De####################################################################################################################################################...
UDP
- DNS ASK a0####60.xsph.ru
- DNS ASK ip##fo.io
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\smiengine\csrss.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\nss3\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\d3dcompiler_47\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'<SYSTEM32>\MCEWMDRMNDBootstrap\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<SYSTEM32>\SmiEngine\csrss.exe'" /rl HIGHEST /f
