Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- ammirabile.exe.com
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tnkvjaqb.txt
- %TEMP%\405.tmp
- %APPDATA%\d
- %APPDATA%\ammirabile.exe.com
- %TEMP%\nsmb71f.tmp\nsexec.dll
- %APPDATA%\vedo.flv
- %APPDATA%\riempiono.flv
- %APPDATA%\inondi.flv
- %APPDATA%\assoluta.flv
- %TEMP%\fawkes\visive.exe
- %TEMP%\fawkes\raffee.exe
- %ProgramFiles(x86)%\foler\olader\acledit.dll
- %ProgramFiles(x86)%\foler\olader\adprovider.dll
- %ProgramFiles(x86)%\foler\olader\acppage.dll
- %TEMP%\nsm959b.tmp\uac.dll
- %TEMP%\file.exe
- %TEMP%\kthuwiueep\ifblkaetvgn.zip
- %TEMP%\kthuwiueep\yjorijckmsdl.zip
- %TEMP%\kthuwiueep\files_\system_info.txt
- %TEMP%\kthuwiueep\files_\screenshot.jpg
- %TEMP%\kthuwiueep\_files\_information.txt
- %TEMP%\kthuwiueep\_files\_screen_desktop.jpeg
- %TEMP%\kthuwiueep\files_\_firefox\formhistory.sqlite
- %TEMP%\kthuwiueep\files_\_firefox\cookies.sqlite
- %TEMP%\kthuwiueep\_files\_firefox\formhistory.sqlite
- %TEMP%\kthuwiueep\_files\_firefox\cookies.sqlite
- %TEMP%\hnmugxlq.vbs
- %TEMP%\931e.tmp
Удаляет следующие файлы
- %TEMP%\tnkvjaqb.txt
- %TEMP%\nsm959b.tmp\uac.dll
- %APPDATA%\d
- %TEMP%\nsmb71f.tmp\nsexec.dll
Самоудаляется.
Сетевая активность
Подключается к
- 'fo###z32.top':80
- 'mo###o03.top':80
- 'ny###r04.top':80
- 'ip##pi.com':80
- '2n#.co':443
- 'x1.#.lencr.org':80
- 'r3.#.lencr.org':80
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://ny###r04.top/download.php?fi#########
- http://ny###r04.top/downfiles/lv.exe
- http://ip##pi.com/json
- http://x1.#.lencr.org/
- http://r3.#.lencr.org/MFMwUTBPME0wSzAJBgUrDgMCGgUABBRI2smg%2ByvTLU%2Fw3mjS9We3NfmzxAQUFC6zF7dYVsuuUAlA5h%2BvnYsUwsYCEgRamwSvvVLPtjCb1Q1H6mzqhA%3D%3D
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Запросы HTTP POST
- http://fo###z32.top/index.php
- http://mo###o03.top/index.php
Другие
- '2n#.co':443
UDP
- DNS ASK fo###z32.top
- DNS ASK mo###o03.top
- DNS ASK ny###r04.top
- DNS ASK nV##############QomJpngzmSSHb.nVSqzBmvnykfmSNNQomJpngzmSSHb
- DNS ASK ip##pi.com
- DNS ASK 2n#.co
- DNS ASK x1.#.lencr.org
- DNS ASK r3.#.lencr.org
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%TEMP%\file.exe'
- '%TEMP%\fawkes\raffee.exe'
- '%TEMP%\fawkes\visive.exe'
- '%APPDATA%\ammirabile.exe.com' d
- '%APPDATA%\ammirabile.exe.com'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\hnmugxlq.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\kThuwIueeP & timeout 3 & del /f /q "<Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Riempiono.flv' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q %TEMP%\kThuwIueeP & timeout 3 & del /f /q "<Полный путь к файлу>"
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Riempiono.flv
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\findstr.exe' /V /R "^JIhhDDUvrRHakDzsFewiQzUcHXkcBThjQNORVdIOOzHdGaTSOFwkMFSfORGFsmVpDcCbPCvgxjavMDOgtzGVSemlVnrrKebfnbMkQcrjpMQmjvDlesBYSZsBVsCdmaE$" Inondi.flv
- '%WINDIR%\syswow64\ping.exe' fogrbtfetcih
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\pdsnbgqkbm.vbs"
