Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'system recover' = '"%ProgramFiles(x86)%\Mozilla Thunderbird\Micyzhedezhe.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'haleng' = '%TEMP%\haleng.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-irvib.tmp\<Имя файла>.tmp
- %TEMP%\b0-40479-f9a-dc1a1-74c11fb38096e\cyqaexipuba.exe
- %TEMP%\b0-40479-f9a-dc1a1-74c11fb38096e\cyqaexipuba.exe.config
- %ProgramFiles(x86)%\mozilla thunderbird\micyzhedezhe.exe
- %ProgramFiles(x86)%\mozilla thunderbird\micyzhedezhe.exe.config
- %TEMP%\b421bh4l.wi5\gcleanereu.exe
- %TEMP%\q0hbigml.h4k\installer.exe
- %TEMP%\haleng.exe
- %TEMP%\is-472t5.tmp\_isetup\_setup64.tmp
- %TEMP%\hgxb1bre.yf2\setup3310.exe
- %TEMP%\is-842sf.tmp\setup3310.tmp
- %TEMP%\is-vq3if.tmp\_isetup\_setup64.tmp
- %TEMP%\is-vq3if.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-vq3if.tmp\itdownload.dll
- %TEMP%\jfiag3g_gg.exe
- %ProgramFiles(x86)%\ultramediaburner\unins000.dat
- C:\users\public\desktop\ultramediaburner.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\ultramediaburner.lnk
- %ProgramFiles(x86)%\ultramediaburner\is-1fjuf.tmp
- %ProgramFiles(x86)%\ultramediaburner\is-j65kl.tmp
- %TEMP%\b0-40479-f9a-dc1a1-74c11fb38096e\kenessey.txt
- %TEMP%\f8-895a2-6ad-289ba-9d2e81e4ad87b\figaefakishae.exe.config
- %TEMP%\f8-895a2-6ad-289ba-9d2e81e4ad87b\figaefakishae.exe
- %TEMP%\is-472t5.tmp\_isetup\_shfoldr.dll
- %TEMP%\0axv0svk.n3v\ifhwwyy.exe
- %TEMP%\is-snej7.tmp\ultramediaburner.tmp
- %ProgramFiles%\wltuser\hfeupfsyvo\ultramediaburner.exe.config
- %ProgramFiles%\wltuser\hfeupfsyvo\ultramediaburner.exe
- %TEMP%\is-8q87t.tmp\_____________bob.exe
- %TEMP%\is-8q87t.tmp\idp.dll
- %TEMP%\is-8q87t.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-8q87t.tmp\_isetup\_setup64.tmp
- %TEMP%\fj4ghga23_fsa.txt
- %TEMP%\tcq1yoyd.0pz\newouttab02.exe
Удаляет следующие файлы
- %TEMP%\is-8q87t.tmp\idp.dll
- %TEMP%\is-8q87t.tmp\_isetup\_setup64.tmp
- %TEMP%\is-8q87t.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-8q87t.tmp\_____________bob.exe
- %TEMP%\is-irvib.tmp\<Имя файла>.tmp
- %TEMP%\jfiag3g_gg.exe
- %TEMP%\fj4ghga23_fsa.txt
Перемещает следующие файлы
- %ProgramFiles(x86)%\ultramediaburner\is-j65kl.tmp в %ProgramFiles(x86)%\ultramediaburner\unins000.exe
- %ProgramFiles(x86)%\ultramediaburner\is-1fjuf.tmp в %ProgramFiles(x86)%\ultramediaburner\ultramediaburner.exe
Сетевая активность
Подключается к
- 're####ted404.com':80
- 'microsoft.com':80
- 'pr#####investig8tor.com':80
- 'google.com':80
- 'co###ctini.net':443
- 'd.#####treetboys.com':443
- 'ca###.uutww77.com':80
- 'ip###ger.org':443
- 'ip##pi.com':80
- 'ip##fo.io':80
- 'ip##fo.io':443
- 'pr###check.io':80
- 'xe###per.xyz':443
- 'x1.#.lencr.org':80
- 'fa###ook.com':443
TCP
Запросы HTTP GET
- http://re####ted404.com/products/bita3elcpm/esskm3392gysubeu.exe
- http://re####ted404.com/products/Sabbeb/a3er3tvh9s2hkm7n.exe
- http://re####ted404.com/products/Hand/3b7m4byc3rpeb3wu.exe
- http://ip##fo.io/ip
Запросы HTTP POST
- http://pr#####investig8tor.com/t7gu47xyp4mj4ekapans/zkau68gvw5aqjawnxpeg
Другие
- 'co###ctini.net':443
- 'pr#######etrustednetwork.com':443
- 'd.#####treetboys.com':443
- '4e################-9142-a3fbcaa9f78f.s3.ap-south-1.amazonaws.com':443
- 'ip###ger.org':443
- 'ip##fo.io':443
- 'xe###per.xyz':443
- 'fa###ook.com':443
UDP
- DNS ASK re####ted404.com
- DNS ASK xe###per.xyz
- DNS ASK pr###check.io
- DNS ASK ip##fo.io
- DNS ASK ip###ger.org
- DNS ASK ip##pi.com
- DNS ASK 4e################-9142-a3fbcaa9f78f.s3.ap-south-1.amazonaws.com
- DNS ASK ca###.uutww77.com
- DNS ASK ht####ownload.pw
- DNS ASK d.#####treetboys.com
- DNS ASK g-###tners.top
- DNS ASK pr#######etrustednetwork.com
- DNS ASK google.com
- DNS ASK pr#####investig8tor.com
- DNS ASK microsoft.com
- DNS ASK co###ctini.net
- DNS ASK x1.#.lencr.org
- DNS ASK fa###ook.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-irvib.tmp\<Имя файла>.tmp' /SL5="$E0226,303887,220160,<Полный путь к файлу>"
- '%TEMP%\f8-895a2-6ad-289ba-9d2e81e4ad87b\figaefakishae.exe'
- '%TEMP%\tcq1yoyd.0pz\newouttab02.exe'
- '%ProgramFiles%\wltuser\hfeupfsyvo\ultramediaburner.exe' /VERYSILENT
- '%TEMP%\is-snej7.tmp\ultramediaburner.tmp' /SL5="$B0210,281924,62464,%ProgramFiles%\wltuser\HFEUPFSYVO\ultramediaburner.exe" /VERYSILENT
- '%TEMP%\is-842sf.tmp\setup3310.tmp' /SL5="$103B2,138429,56832,%TEMP%\hgxb1bre.yf2\Setup3310.exe" /Verysilent /subid=623
- '%TEMP%\is-8q87t.tmp\_____________bob.exe' /S /UID=burnerch1
- '%TEMP%\b0-40479-f9a-dc1a1-74c11fb38096e\cyqaexipuba.exe'
- '%TEMP%\jfiag3g_gg.exe' /scookiestxt %TEMP%\fj4ghga23_fsa.txt
- '%TEMP%\0axv0svk.n3v\ifhwwyy.exe'
- '%TEMP%\hgxb1bre.yf2\setup3310.exe' /Verysilent /subid=623
- '%ProgramFiles(x86)%\ultramediaburner\ultramediaburner.exe' -silent -desktopShortcut -programMenu
- '%TEMP%\is-8q87t.tmp\_____________bob.exe' /S /UID=burnerch1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\hgxb1bre.yf2\Setup3310.exe /Verysilent /subid=623 & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\tcq1yoyd.0pz\Newouttab02.exe & exit' (со скрытым окном)
- '%TEMP%\jfiag3g_gg.exe' /scookiestxt %TEMP%\fj4ghga23_fsa.txt' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\0axv0svk.n3v\ifhwwyy.exe & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\uvrwwpic.x0d\google-game.exe & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\q0hbigml.h4k\installer.exe /qn CAMPAIGN="654" & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\b421bh4l.wi5\GcleanerEU.exe /eufive & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\oe4o0pgu.n24\SunLabsPlayer.exe /S & exit' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://www.pr#######etrustednetwork.com/e2q8zu9hu?ke##################################
- '<SYSTEM32>\cmd.exe' /k %TEMP%\b421bh4l.wi5\GcleanerEU.exe /eufive & exit
- '<SYSTEM32>\cmd.exe' /k %TEMP%\q0hbigml.h4k\installer.exe /qn CAMPAIGN="654" & exit
- '<SYSTEM32>\cmd.exe' /k %TEMP%\0axv0svk.n3v\ifhwwyy.exe & exit
- '<SYSTEM32>\cmd.exe' /k %TEMP%\hgxb1bre.yf2\Setup3310.exe /Verysilent /subid=623 & exit
- '<SYSTEM32>\cmd.exe' /k %TEMP%\tcq1yoyd.0pz\Newouttab02.exe & exit
- '<SYSTEM32>\cmd.exe' /k %TEMP%\uvrwwpic.x0d\google-game.exe & exit
- '%WINDIR%\syswow64\rundll32.exe' "%TEMP%\axhub.dll",axhub
- '<SYSTEM32>\svchost.exe' -k SystemNetworkService
- '<SYSTEM32>\cmd.exe' /k %TEMP%\oe4o0pgu.n24\SunLabsPlayer.exe /S & exit
