Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- ipconfig.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\ero.pot
- %TEMP%\file.exe
- %TEMP%\nsvca22.tmp\uac.dll
- %ProgramFiles%\foler\olader\acppage.dll
- %ProgramFiles%\foler\olader\adprovider.dll
- %ProgramFiles%\foler\olader\acledit.dll
- %TEMP%\bjbtvwtvhujds\vgdckptigitiny.zip
- %TEMP%\bjbtvwtvhujds\iwurfzumag.zip
- %TEMP%\smudgy\ewardvp.exe
- %APPDATA%\carne.eps
- %APPDATA%\gioconda.eps
- %APPDATA%\volge.eps
- %TEMP%\nsvcfec.tmp\nsexec.dll
- %TEMP%\nsvcfec.tmp\nscffd.tmp
- %TEMP%\smudgy\unlimp.exe
- %APPDATA%\accade.eps
- %TEMP%\bjbtvwtvhujds\files_\system_info.txt
- %TEMP%\bjbtvwtvhujds\_files\_information.txt
- %TEMP%\bjbtvwtvhujds\files_\screenshot.jpg
- %APPDATA%\mie.pot
- %APPDATA%\raccontava.pot
- %TEMP%\nsq1fff.tmp\nsexec.dll
- %TEMP%\nsq1fff.tmp\ns201f.tmp
- %APPDATA%\avvenne.exe.com
- %APPDATA%\m
- %APPDATA%\grado.pot
- %APPDATA%\ipconfig.exe
- %TEMP%\bjbtvwtvhujds\_files\_firefox\formhistory.sqlite
- %TEMP%\bjbtvwtvhujds\_files\_firefox\key3.db
- %TEMP%\bjbtvwtvhujds\files_\_firefox\cookies.sqlite
- %TEMP%\bjbtvwtvhujds\files_\_firefox\formhistory.sqlite
- %TEMP%\bjbtvwtvhujds\files_\_firefox\key3.db
- %TEMP%\bjbtvwtvhujds\_files\_screen_desktop.jpeg
- %TEMP%\bjbtvwtvhujds\_files\_firefox\cookies.sqlite
- %APPDATA%\attimi.exe.com
- %APPDATA%\c
Удаляет следующие файлы
- %APPDATA%\m
- %TEMP%\nsq1fff.tmp\ns201f.tmp
- %TEMP%\nsq1fff.tmp\nsexec.dll
- %TEMP%\bjbtvwtvhujds\files_\_firefox\key3.db
- %TEMP%\bjbtvwtvhujds\_files\_firefox\key3.db
- %TEMP%\nsvca22.tmp\uac.dll
- %APPDATA%\c
- %APPDATA%\ipconfig.exe
- %TEMP%\nsvcfec.tmp\nscffd.tmp
- %TEMP%\nsvcfec.tmp\nsexec.dll
Сетевая активность
Подключается к
- 'ra###i73.top':80
- 'mo###n07.top':80
- 'el###i10.top':80
TCP
Запросы HTTP GET
- http://el###i10.top/download.php?fi#########
- http://el###i10.top/downfiles/lv.exe
Запросы HTTP POST
- http://ra###i73.top/index.php
- http://mo###n07.top/index.php
UDP
- DNS ASK tC#############AnQFdEPUpAYG.tCnLuYHgvJmYjgzAnQFdEPUpAYG
- DNS ASK ra###i73.top
- DNS ASK mo###n07.top
- DNS ASK el###i10.top
- DNS ASK KN#####tke.KNjhqjitke
Другое
Создает и запускает на исполнение
- '%TEMP%\nsq1fff.tmp\ns201f.tmp' "cmd" /c cmd < Mie.pot
- '%APPDATA%\avvenne.exe.com' M
- '%APPDATA%\ipconfig.exe'
- '%TEMP%\file.exe'
- '%TEMP%\smudgy\ewardvp.exe'
- '%TEMP%\nsvcfec.tmp\nscffd.tmp' "cmd" /c cmd < Carne.eps
- '%APPDATA%\attimi.exe.com' C
- '%TEMP%\nsq1fff.tmp\ns201f.tmp' "cmd" /c cmd < Mie.pot' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c rd /s /q %TEMP%\BJBTvWtvHujds & timeout 4 & del /f /q "%APPDATA%\ipconfig.exe"' (со скрытым окном)
- '%TEMP%\nsvcfec.tmp\nscffd.tmp' "cmd" /c cmd < Carne.eps' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cmd < Mie.pot
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\findstr.exe' /V /R "^ydwwXwNjpIBtNxflVSSUuohVSJktdtHDKXUbPZrZHQfxXmFpKGEVepkWruphPIWyqYzQASxWOShdTTXatezJmMAALXzJPQlYTpzZyPISk$" Ero.pot
- '<SYSTEM32>\ping.exe' xaadaunjrhca
- '<SYSTEM32>\cmd.exe' /c rd /s /q %TEMP%\BJBTvWtvHujds & timeout 4 & del /f /q "%APPDATA%\ipconfig.exe"
- '<SYSTEM32>\timeout.exe' 4
- '<SYSTEM32>\cmd.exe' /c cmd < Carne.eps
- '<SYSTEM32>\findstr.exe' /V /R "^jNjEspHjZwtishCWHVcnkykneuNMZiajcyUiqvJruhJvWOWFXQCKOCquCOBlcVhRJRMkacVkjssYvOBgloOoFHnSyNFjUnIl$" Accade.eps
