Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\taskhost
- <SYSTEM32>\tasks\wmiprvse
- <SYSTEM32>\tasks\sppsvc
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\system
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\cryptbase\taskhost.exe
- C:\users\public\zbd7l0s5lc
- C:\users\public\yttrehocny
- C:\users\public\qzasw9kdsn
- C:\users\public\wck1zszjnb
- C:\users\public\ulkwxv3aaa
- C:\users\public\dulguc6wd5
- C:\users\public\dnyzjn89bp
- %ProgramFiles(x86)%\internet explorer\sqmapi\iexplore.exe
- C:\users\public\tfxctzhuvz
- C:\users\public\ljigpx0qby
- C:\users\public\ejbiszg90m
- C:\users\public\mlwhcpzhne
- C:\users\public\pizbnefsjl
- C:\users\public\wrimlkepuu
- %WINDIR%\system\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
- %WINDIR%\system\system.exe
- C:\documents and settings\24dbde2999530ef5fd907494bc374d663924116c
- C:\documents and settings\wmiprvse.exe
- %ProgramFiles(x86)%\internet explorer\ie8props\9db6e019d4f04ef534d0f91b3462d805c40e9d20
- %ProgramFiles(x86)%\internet explorer\ie8props\iexplore.exe
- %ALLUSERSPROFILE%\application data\ce392d18f51d99c388e3bfd1b37a75c5d701448c
- %ALLUSERSPROFILE%\application data\<Имя файла>.exe
- %ProgramFiles(x86)%\internet explorer\sqmapi\9db6e019d4f04ef534d0f91b3462d805c40e9d20
- C:\users\public\lonwumkxtw
- C:\far2\encyclopedia\tap\69ddcba757bf72f7d36c464c71f42baab150b2b9
- C:\far2\encyclopedia\tap\smss.exe
- <SYSTEM32>\aclui\0a1fd5f707cd16ea89afd3d6db52b2da58214a6c
- <SYSTEM32>\aclui\sppsvc.exe
- <SYSTEM32>\wbem\msv1_0\24dbde2999530ef5fd907494bc374d663924116c
- <SYSTEM32>\wbem\msv1_0\wmiprvse.exe
- <SYSTEM32>\cryptbase\b75386f1303e64d8139363b71e44ac16341adf4e
- C:\users\public\thdsmzwbo9
- C:\users\public\isd7j5u94o
Удаляет следующие файлы
- C:\users\public\zbd7l0s5lc
- C:\users\public\yttrehocny
- C:\users\public\qzasw9kdsn
- C:\users\public\wck1zszjnb
- C:\users\public\ulkwxv3aaa
- C:\users\public\dulguc6wd5
- C:\users\public\lonwumkxtw
- C:\users\public\dnyzjn89bp
- C:\users\public\tfxctzhuvz
- C:\users\public\ljigpx0qby
- C:\users\public\ejbiszg90m
- C:\users\public\mlwhcpzhne
- C:\users\public\pizbnefsjl
- C:\users\public\wrimlkepuu
- C:\users\public\thdsmzwbo9
- C:\users\public\isd7j5u94o
Сетевая активность
Подключается к
- '94.##0.248.158':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://94.##0.248.158/protectWindows.php?HL######################################################################################################################################################...
UDP
- DNS ASK ip##fo.io
Другое
Создает и запускает на исполнение
- '%WINDIR%\system\system.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'<SYSTEM32>\cryptbase\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'<SYSTEM32>\wbem\msv1_0\WmiPrvSE.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "sppsvc" /sc ONLOGON /tr "'<SYSTEM32>\aclui\sppsvc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\Far2\Encyclopedia\tap\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\sqmapi\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Application Data\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\ie8props\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WmiPrvSE" /sc ONLOGON /tr "'C:\Documents and Settings\WmiPrvSE.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%WINDIR%\system\System.exe'" /rl HIGHEST /f
