Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\smss
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\msdfmap\explorer.exe
- %TEMP%\1fbpmhewbp
- %TEMP%\gvxotpaoo4
- %TEMP%\eyxy6k2svl
- %TEMP%\at9xnblv2q
- %TEMP%\9meeocw8ie
- %TEMP%\qejorqncyi
- %TEMP%\r5i37oejtn
- %TEMP%\yhcnobxcsu
- %TEMP%\aayovwqe6u
- %TEMP%\rshxtgrtej
- %TEMP%\v4qbczmbxe
- %TEMP%\eckielpphe
- %TEMP%\peze2gptmf
- %TEMP%\1vxnwpcadw
- nul
- %TEMP%\1fedayiv8e.bat
- %TEMP%\nz9fptr5je
- %WINDIR%\write\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
- %WINDIR%\write\explorer.exe
- C:\far2\plugins\emenu\69ddcba757bf72f7d36c464c71f42baab150b2b9
- C:\far2\plugins\emenu\smss.exe
- %WINDIR%\syswow64\iasacct\886983d96e3d3e31032c679b2d4ea91b6c05afef
- %WINDIR%\syswow64\iasacct\csrss.exe
- %WINDIR%\msdfmap\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
- %TEMP%\jbtrqxgyk1
- %TEMP%\kenhip5veh
Удаляет следующие файлы
- %TEMP%\nz9fptr5je
- %TEMP%\1fbpmhewbp
- %TEMP%\gvxotpaoo4
- %TEMP%\eyxy6k2svl
- %TEMP%\at9xnblv2q
- %TEMP%\9meeocw8ie
- %TEMP%\qejorqncyi
- %TEMP%\eckielpphe
- %TEMP%\r5i37oejtn
- %TEMP%\aayovwqe6u
- %TEMP%\rshxtgrtej
- %TEMP%\v4qbczmbxe
- %TEMP%\peze2gptmf
- %TEMP%\jbtrqxgyk1
- %TEMP%\1vxnwpcadw
- %TEMP%\yhcnobxcsu
- %TEMP%\kenhip5veh
Сетевая активность
Подключается к
- '19#.#26.139.11':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://19#.#26.139.11/eternalpipeto_Packet.php?JC################################################################################################################################################...
Другие
- 'ip##fo.io':443
UDP
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\msdfmap\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\1fedaYiv8E.bat"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\msdfmap\explorer.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<SYSTEM32>\iasacct\csrss.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\Far2\Plugins\EMenu\smss.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%WINDIR%\write\explorer.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\1fedaYiv8E.bat"
- '%WINDIR%\syswow64\chcp.com' 65001
- '%WINDIR%\syswow64\ping.exe' -n 5 localhost
