Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'haleng' = '%TEMP%\haleng.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\is-40sqh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-40sqh.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-40sqh.tmp\idp.dll
- %TEMP%\is-j2qmp.tmp\_isetup\_setup64.tmp
- %TEMP%\is-j2qmp.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-j2qmp.tmp\idp.dll
- %TEMP%\is-7ciit.tmp\setup.tmp
- %TEMP%\is-bftc7.tmp\_isetup\_setup64.tmp
- %TEMP%\$inst\0001.tmp
- %TEMP%\is-bftc7.tmp\_isetup\_iscrypt.dll
- %ProgramFiles(x86)%\is-1i4jr.tmp
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-5mbt7.tmp
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-1k7s7.tmp
- %TEMP%\jfiag3g_gg.exe
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-tdh8g.tmp
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-rors8.tmp
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\d-shm
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-ag3e4.tmp
- %TEMP%\is-jpqtm.tmp\lylal220.tmp
- %TEMP%\haleng.exe
- %TEMP%\is-ov56t.tmp\labpicv3.tmp
- %ProgramFiles%\jp2native.dll
- %ProgramFiles%\unins0000.dat
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\hjjgaa.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\runww.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\jg7_7wjg.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\guihuali-game.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\labpicv3.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\lylal220.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\barsetpfile.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\dp81gdx0orcq.exe
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-skdjo.tmp
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\d
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\setup.exe
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\uninstall.ini
- %HOMEPATH%\documents\vlcpvideov1.0.1\jg7_7wjg.exe
- %ProgramFiles%\api-ms-win-crt-string-l1-1-0.dll
- %ProgramFiles%\api-ms-win-crt-convert-l1-1-0.dll
- %ProgramFiles%\api-ms-win-crt-runtime-l1-1-0.dll
- %ProgramFiles%\unins0000.dll
- %ProgramFiles%\unins.vbs
- %ProgramFiles%\dcpr.dll
- %TEMP%\$inst\temp_0.tmp
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\uninstall.exe
- %TEMP%\fj4ghga23_fsa.txt
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\jfiag3g_gg.exe
- %TEMP%\is-bftc7.tmp\_isetup\_setup64.tmp
- %TEMP%\is-bftc7.tmp\_isetup\_iscrypt.dll
- %ProgramFiles(x86)%\build.bat
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\d-shm
- %TEMP%\is-ov56t.tmp\labpicv3.tmp
- %TEMP%\is-jpqtm.tmp\lylal220.tmp
- %ProgramFiles%\unins0000.dat
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\d
- %TEMP%\is-j2qmp.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-40sqh.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-40sqh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-40sqh.tmp\idp.dll
- %TEMP%\is-j2qmp.tmp\_isetup\_setup64.tmp
- %TEMP%\is-j2qmp.tmp\idp.dll
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\0001.tmp
- %TEMP%\fj4ghga23_fsa.txt
- %TEMP%\is-7ciit.tmp\setup.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\is-1i4jr.tmp в %ProgramFiles(x86)%\build.bat
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-5mbt7.tmp в %ALLUSERSPROFILE%\cqtdmld28xlid\7za.exe
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-1k7s7.tmp в %ALLUSERSPROFILE%\cqtdmld28xlid\file.bin
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-tdh8g.tmp в %ALLUSERSPROFILE%\cqtdmld28xlid\main.bat
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-rors8.tmp в %ALLUSERSPROFILE%\cqtdmld28xlid\nipruwikiqlyav.bat
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-ag3e4.tmp в %ALLUSERSPROFILE%\cqtdmld28xlid\owmgfeiqfrnmdel.bat
- %ALLUSERSPROFILE%\cqtdmld28xlid\is-skdjo.tmp в %ALLUSERSPROFILE%\cqtdmld28xlid\iphjmanimepa.vbs
- %ALLUSERSPROFILE%\cqtdmld28xlid\file.bin в %ALLUSERSPROFILE%\cqtdmld28xlid\file.zip
Подменяет следующие файлы
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\d
- %ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\d-shm
- %ALLUSERSPROFILE%\cqtdmld28xlid\file.bin
Сетевая активность
Подключается к
- '10#.#6.107.74':80
- 'ap#.#aceit.com':443
- 'ip##pi.com':80
- 'fa###ook.com':443
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
Другие
- 'ap#.#aceit.com':443
UDP
- DNS ASK gl####-sc-ltd.com
- DNS ASK ap#.#aceit.com
- DNS ASK ip##pi.com
- DNS ASK fa#####k.websmails.com
- DNS ASK fa###ook.com
- DNS ASK pi###-dcn.xyz
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\hjjgaa.exe'
- '%ALLUSERSPROFILE%\cqtdmld28xlid\7za.exe' e extracted/file_3.zip -oextracted
- '%ALLUSERSPROFILE%\cqtdmld28xlid\7za.exe' e extracted/file_4.zip -oextracted
- '%ALLUSERSPROFILE%\cqtdmld28xlid\7za.exe' e file.zip -p___________10461pwd11828pwd7493___________ -oextracted
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\CQTdmlD28xlID\iphjManIMEPA.vbs"
- '%TEMP%\jfiag3g_gg.exe' /scookiestxt %TEMP%\fj4ghga23_fsa.txt
- '%TEMP%\is-7ciit.tmp\setup.tmp' /SL5="$102AE,3629373,780800,%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\Versium Research\Setup.exe"
- '%WINDIR%\syswow64\wscript.exe' "%ProgramFiles%\unins.vbs"
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\setup.exe'
- '%TEMP%\is-jpqtm.tmp\lylal220.tmp' /SL5="$10292,298214,214528,%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\Versium Research\lylal220.exe"
- '%TEMP%\is-ov56t.tmp\labpicv3.tmp' /SL5="$10290,136934,53248,%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\Versium Research\LabPicV3.exe"
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\dp81gdx0orcq.exe'
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\barsetpfile.exe'
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\lylal220.exe'
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\labpicv3.exe'
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\guihuali-game.exe'
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\jg7_7wjg.exe'
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\runww.exe'
- '%ALLUSERSPROFILE%\cqtdmld28xlid\7za.exe' e extracted/file_2.zip -oextracted
- '%ALLUSERSPROFILE%\cqtdmld28xlid\7za.exe' e extracted/file_1.zip -oextracted
Запускает на исполнение
- '%WINDIR%\syswow64\timeout.exe' /T 120 /NOBREAK
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\CQTdmlD28xlID\owmgfeiqFRNmDEL.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\CQTdmlD28xlID\main.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\CQTdmlD28xlID\NIprUwIkiqLyAV.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ProgramFiles(x86)%\build.bat" "
- '<SYSTEM32>\svchost.exe' -k SystemNetworkService
- '%WINDIR%\syswow64\rundll32.exe' "%ProgramFiles%\unins0000.dll",install (со скрытым окном)
- '%WINDIR%\syswow64\mode.com' 65,10
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\dp81gdx0orcq.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\setup.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\barsetpfile.exe' (со скрытым окном)
- '%TEMP%\jfiag3g_gg.exe' /scookiestxt %TEMP%\fj4ghga23_fsa.txt (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\runww.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\guihuali-game.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\jg7_7wjg.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\lylal220.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\labpicv3.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\94c45254-6d52-40cc-93fb-b69707383880\versium research\hjjgaa.exe' (со скрытым окном)
