Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\smartclock.lnk
- <SYSTEM32>\tasks\smart clock
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bhxgrtb81wzs\qsn0.tmp
- %TEMP%\bhxgrtb81wzs\_files\_screen_desktop.jpeg
- %TEMP%\bhxgrtb81wzs\_files\_information.txt
- %TEMP%\bhxgrtb81wzs\files_\screenshot.jpg
- %TEMP%\bhxgrtb81wzs\files_\system_info.txt
- %TEMP%\bhxgrtb81wzs\16lljdqaihy5p.zip
- %TEMP%\bhxgrtb81wzs\snej71fbyore.zip
- %TEMP%\filett.exe
- %TEMP%\nsmf5e3.tmp\uac.dll
- %ProgramFiles(x86)%\foler\olader\adprovider.dll
- %TEMP%\ixp000.tmp\voto.exe.com
- %ProgramFiles(x86)%\foler\olader\acledit.dll
- %TEMP%\namoi\vn.exe
- %TEMP%\namoi\four.exe
- %APPDATA%\smart clock\smartclock.exe
- %TEMP%\ixp000.tmp\esistenza.docm
- %TEMP%\ixp000.tmp\tuo.docm
- %TEMP%\ixp000.tmp\perdonarmi.docm
- %TEMP%\ixp000.tmp\ritorni.docm
- %TEMP%\bhxgrtb81wzs\files_\cookies\mozilla_firefox.txt
- %ProgramFiles(x86)%\foler\olader\acppage.dll
- %TEMP%\bhxgrtb81wzs\_files\_cookies\mozilla_firefox.txt
- %TEMP%\bhxgrtb81wzs\_files\_cookies\google_chrome.txt
- %TEMP%\bhxgrtb81wzs\uea7v3.tmp
- %TEMP%\bhxgrtb81wzs\uvmj.tmp
- %TEMP%\bhxgrtb81wzs\p0uwm.tmp
- %TEMP%\bhxgrtb81wzs\uq7g.tmp
- %TEMP%\bhxgrtb81wzs\lm5v.tmp
- %TEMP%\bhxgrtb81wzs\gn0x.tmp
- %TEMP%\bhxgrtb81wzs\jipwbf.tmp
- %TEMP%\bhxgrtb81wzs\hcspqd.tmp
- %TEMP%\bhxgrtb81wzs\files_\cookies\google_chrome.txt
- %TEMP%\bhxgrtb81wzs\fehs8.tmp
- %TEMP%\bhxgrtb81wzs\_files\_allcookies_list.txt
- %TEMP%\bhxgrtb81wzs\files_\cookies.txt
- %TEMP%\bhxgrtb81wzs\1lhmf.tmp
- %TEMP%\bhxgrtb81wzs\rubdrv.tmp
- %TEMP%\bhxgrtb81wzs\ru2h5i.tmp
- %TEMP%\bhxgrtb81wzs\_files\_cookies\opera.txt
- %TEMP%\bhxgrtb81wzs\files_\cookies\opera.txt
- %TEMP%\bhxgrtb81wzs\c5jmn.tmp
- %TEMP%\bhxgrtb81wzs\c5jmn.tmp-shm
- %TEMP%\ixp000.tmp\f
Удаляет следующие файлы
- %TEMP%\bhxgrtb81wzs\c5jmn.tmp-shm
- %TEMP%\ixp000.tmp\tuo.docm
- %TEMP%\ixp000.tmp\ritorni.docm
- %TEMP%\ixp000.tmp\perdonarmi.docm
- %TEMP%\ixp000.tmp\f
- %TEMP%\nsmf5e3.tmp\uac.dll
- %TEMP%\bhxgrtb81wzs\_files\_cookies\opera.txt
- %TEMP%\bhxgrtb81wzs\uvmj.tmp
- %TEMP%\bhxgrtb81wzs\uq7g.tmp
- %TEMP%\bhxgrtb81wzs\uea7v3.tmp
- %TEMP%\bhxgrtb81wzs\rubdrv.tmp
- %TEMP%\ixp000.tmp\esistenza.docm
- %TEMP%\bhxgrtb81wzs\ru2h5i.tmp
- %TEMP%\bhxgrtb81wzs\p0uwm.tmp
- %TEMP%\bhxgrtb81wzs\lm5v.tmp
- %TEMP%\bhxgrtb81wzs\jipwbf.tmp
- %TEMP%\bhxgrtb81wzs\hcspqd.tmp
- %TEMP%\bhxgrtb81wzs\gn0x.tmp
- %TEMP%\bhxgrtb81wzs\files_\cookies.txt
- %TEMP%\bhxgrtb81wzs\files_\cookies\opera.txt
- %TEMP%\bhxgrtb81wzs\fehs8.tmp
- %TEMP%\bhxgrtb81wzs\c5jmn.tmp
- %TEMP%\bhxgrtb81wzs\1lhmf.tmp
- %TEMP%\bhxgrtb81wzs\qsn0.tmp
- %TEMP%\ixp000.tmp\voto.exe.com
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP POST
- http://ly###y12.top/index.php
- http://mo###r01.top/index.php
UDP
- DNS ASK ly###y12.top
- DNS ASK mo###r01.top
- DNS ASK da###a01.top
- DNS ASK qW###########iaUAYQcwS.qWasCAAWWRdeHiaUAYQcwS
Другое
Создает и запускает на исполнение
- '%TEMP%\filett.exe'
- '%TEMP%\namoi\vn.exe'
- '%TEMP%\namoi\four.exe'
- '%TEMP%\ixp000.tmp\voto.exe.com' f
- '%APPDATA%\smart clock\smartclock.exe'
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\bhxGrtB81wZs & timeout 2 & del /f /q "<Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\dllhost.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Ritorni.docm' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\bhxGrtB81wZs & timeout 2 & del /f /q "<Полный путь к файлу>"
- '%WINDIR%\syswow64\timeout.exe' 2
- '%WINDIR%\syswow64\dllhost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Ritorni.docm
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\findstr.exe' /V /R "^LodkRlBSRrPGkJmvfGWoQmKxYYFITWniLRlmgrMsXQEOYkwWHltAFiajnWhTFSYVFIVzmZojUEkZUVvMWJqISXBDmYw$" Esistenza.docm
- '%WINDIR%\syswow64\ping.exe' localhost -n 30
