Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'recovery' = '<SYSTEM32>\lsaobjlsa.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'recovery' = '<SYSTEM32>\lsaobjlsa.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components\{22d7f312-b0f6-11d2-94ab-0080c33c7e95}] 'StubPath' = 'rundll32.exe <SYSTEM32>\themeuichk.dll,ThemesSetupInstallCheck'
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [<HKCU>\Software\RIT\The Bat!]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Far\Plugins\FTP\Hosts]
- [<HKCU>\Software\Far2\Plugins\FTP\Hosts]
- [<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\application data\thunderbird\profiles.ini
- %HOMEPATH%\application data\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\bot.log
- %WINDIR%\syswow64\dnspooldns.exe
- %WINDIR%\syswow64\lsaobjlsa.exe
- %TEMP%\e623b96e-5955-46b3-a2c1-7c1f97878a42
- %WINDIR%\syswow64\hostdispsql.ocx
- %WINDIR%\syswow64\procfwcsql.exe
- %WINDIR%\syswow64\msnetms.exe
- %TEMP%\81d4c894-5c86-42ff-ba61-0f455fdfed16
- %WINDIR%\syswow64\netdhcpnet.exe
- %TEMP%\8ce8e0fd-9bea-4494-96ba-cfd0d4f2eceb
- %TEMP%\1.tmp.cmd
- %TEMP%\smss.exe
- %TEMP%\win5.tmp
Удаляет следующие файлы
- %TEMP%\sqlipproc.exe
- %TEMP%\win5.tmp
Перемещает следующие файлы
- %TEMP%\e623b96e-5955-46b3-a2c1-7c1f97878a42 в %TEMP%\advsec32.dll
- %TEMP%\81d4c894-5c86-42ff-ba61-0f455fdfed16 в %WINDIR%\syswow64\themeuichk.dll
- %TEMP%\8ce8e0fd-9bea-4494-96ba-cfd0d4f2eceb в %TEMP%\sqlipproc.exe
Сетевая активность
Подключается к
- '10.#7.0.71':21
- 'mo#####s.joomapps.com':80
- 'mo#####s.joomapps.com':443
TCP
Запросы HTTP GET
- http://mo#####s.joomapps.com/rc-libs/css/dist/block-library/style.min.css?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/repcodeshop/packages/repcodeshop-blocks/build/rs-blocks-vendors-style.css?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/repcodeshop/assets/css/repcodeshop-layout.css?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/repcodeshop/assets/css/repcodeshop.css?ve#######
- http://mo#####s.joomapps.com/rc-libs/js/jquery/jquery.min.js?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/themes/moph/style.css?ve#######
- http://mo#####s.joomapps.com/rc-libs/js/jquery/jquery-migrate.min.js?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/form-generating-pdf/js/jquery.validate.min.js?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/repcodeshop/packages/repcodeshop-blocks/build/rs-blocks-style.css?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/repcodeshop/assets/css/repcodeshop-smallscreen.css?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/translatercode-multilingual/assets/js/trp-frontend-compatibility.js?ve#######
- http://mo#####s.joomapps.com/rc-cmsdata/extensions/translatercode-multilingual/assets/css/trp-language-switcher.css?ve#######
Запросы HTTP POST
- http://82.##6.51.22/dir.php
Другие
- 'mo#####s.joomapps.com':443
UDP
- DNS ASK mo#####s.joomapps.com
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\sqlipproc.exe'
- '%TEMP%\smss.exe' 127.1 -n 5
- '%TEMP%\sqlipproc.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\1.tmp.cmd "%TEMP%\SQLIPP~1.EXE""' (со скрытым окном)
- '%WINDIR%\syswow64\regedit.exe' /s %TEMP%\win5.tmp' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\1.tmp.cmd "%TEMP%\SQLIPP~1.EXE""
- '%WINDIR%\syswow64\attrib.exe' -s -h "%TEMP%\SQLIPP~1.EXE"
- '%WINDIR%\syswow64\regedit.exe' /s %TEMP%\win5.tmp
