Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'system recover' = '"%ProgramFiles(x86)%\Microsoft Analysis Services\Korishaelata.exe"'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-0lg09.tmp\<Имя файла>.tmp
- %TEMP%\14-9a53c-7c6-ad590-4ff0cda3623c7\caegycacope.exe.config
- %TEMP%\14-9a53c-7c6-ad590-4ff0cda3623c7\caegycacope.exe
- %ProgramFiles(x86)%\picture lab\unins000.dat
- C:\users\public\desktop\picture lab.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\picture lab.lnk
- %ProgramFiles(x86)%\picture lab\is-6b8sh.tmp
- %ProgramFiles(x86)%\picture lab\is-jdil5.tmp
- %ProgramFiles(x86)%\picture lab\is-6rn8u.tmp
- %ProgramFiles(x86)%\picture lab\is-bcth5.tmp
- %ProgramFiles(x86)%\picture lab\is-n776r.tmp
- %ProgramFiles(x86)%\picture lab\is-v8oj1.tmp
- %ProgramFiles(x86)%\picture lab\is-28n54.tmp
- %ProgramFiles(x86)%\picture lab\is-0ebaj.tmp
- %ProgramFiles(x86)%\picture lab\is-1u16u.tmp
- %ProgramFiles(x86)%\picture lab\is-todur.tmp
- %TEMP%\14-9a53c-7c6-ad590-4ff0cda3623c7\kenessey.txt
- %TEMP%\1a-86964-a26-b1b96-bc9e7719fca6d\misewufapae.exe.config
- %TEMP%\1a-86964-a26-b1b96-bc9e7719fca6d\misewufapae.exe
- %TEMP%\is-npkdm.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-npkdm.tmp\_isetup\_setup64.tmp
- %TEMP%\is-pa25p.tmp\prolab.tmp
- %ProgramFiles%\woool\jpwpxcpjft\prolab.exe.config
- %ProgramFiles%\woool\jpwpxcpjft\prolab.exe
- %TEMP%\is-6lsps.tmp\finder.exe
- %TEMP%\is-6lsps.tmp\idp.dll
- %TEMP%\is-6lsps.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-6lsps.tmp\_isetup\_setup64.tmp
- %ProgramFiles(x86)%\microsoft analysis services\korishaelata.exe
- %ProgramFiles(x86)%\microsoft analysis services\korishaelata.exe.config
Удаляет следующие файлы
- %TEMP%\is-npkdm.tmp\_isetup\_setup64.tmp
- %TEMP%\is-npkdm.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-pa25p.tmp\prolab.tmp
- %TEMP%\is-6lsps.tmp\finder.exe
- %TEMP%\is-6lsps.tmp\idp.dll
- %TEMP%\is-6lsps.tmp\_isetup\_setup64.tmp
- %TEMP%\is-6lsps.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-0lg09.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\picture lab\is-todur.tmp в %ProgramFiles(x86)%\picture lab\unins000.exe
- %ProgramFiles(x86)%\picture lab\is-1u16u.tmp в %ProgramFiles(x86)%\picture lab\pictures lab.exe
- %ProgramFiles(x86)%\picture lab\is-0ebaj.tmp в %ProgramFiles(x86)%\picture lab\aforge.dll
- %ProgramFiles(x86)%\picture lab\is-28n54.tmp в %ProgramFiles(x86)%\picture lab\aforge.imaging.dll
- %ProgramFiles(x86)%\picture lab\is-v8oj1.tmp в %ProgramFiles(x86)%\picture lab\aforge.math.dll
- %ProgramFiles(x86)%\picture lab\is-n776r.tmp в %ProgramFiles(x86)%\picture lab\dockingtoolbar.dll
- %ProgramFiles(x86)%\picture lab\is-bcth5.tmp в %ProgramFiles(x86)%\picture lab\dockmanager.config
- %ProgramFiles(x86)%\picture lab\is-6rn8u.tmp в %ProgramFiles(x86)%\picture lab\sourcegrid2.dll
- %ProgramFiles(x86)%\picture lab\is-jdil5.tmp в %ProgramFiles(x86)%\picture lab\sourcelibrary.dll
- %ProgramFiles(x86)%\picture lab\is-6b8sh.tmp в %ProgramFiles(x86)%\picture lab\weifenluo.winformsui.dll
Сетевая активность
Подключается к
- 'la#########.s3.eu-north-1.amazonaws.com':80
- 'co###ctini.net':443
- 'microsoft.com':80
- 'la#########.s3.eu-north-1.amazonaws.com':443
- 'x.##2.us':80
- 'po####ack-url.com':80
TCP
Запросы HTTP POST
- http://po####ack-url.com/temptrack/Store
UDP
- DNS ASK la#########.s3.eu-north-1.amazonaws.com
- DNS ASK co###ctini.net
- DNS ASK microsoft.com
- DNS ASK x.##2.us
- DNS ASK po####ack-url.com
- DNS ASK google.com
Другое
Создает и запускает на исполнение
- '%TEMP%\is-0lg09.tmp\<Имя файла>.tmp' /SL5="$F0236,506127,422400,<Полный путь к файлу>"
- '%TEMP%\is-6lsps.tmp\finder.exe' /S /UID=lab214
- '%ProgramFiles%\woool\jpwpxcpjft\prolab.exe' /VERYSILENT
- '%TEMP%\is-pa25p.tmp\prolab.tmp' /SL5="$B01EE,575243,216576,%ProgramFiles%\woool\JPWPXCPJFT\prolab.exe" /VERYSILENT
- '%TEMP%\1a-86964-a26-b1b96-bc9e7719fca6d\misewufapae.exe'
- '%TEMP%\14-9a53c-7c6-ad590-4ff0cda3623c7\caegycacope.exe'
- '%TEMP%\is-6lsps.tmp\finder.exe' /S /UID=lab214' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\1ohwmmqm.w2s\gaooo.exe & exit' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://www.pr#######etrustednetwork.com/e2q8zu9hu?ke##################################
- '<SYSTEM32>\cmd.exe' /k %TEMP%\1ohwmmqm.w2s\gaooo.exe & exit
