Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\software\microsoft\windows\currentversion\run] 'Replace3002' = 'wscript.exe //B "%APPDATA%\Replace3002.vbs"'
- [<HKLM>\software\Wow6432Node\microsoft\windows\currentversion\run] 'Replace3002' = 'wscript.exe //B "%APPDATA%\Replace3002.vbs"'
- [<HKCU>\software\microsoft\windows\currentversion\run] 'Replace6004' = 'wscript.exe //B "%APPDATA%\Replace6004.vbs"'
- [<HKLM>\software\microsoft\windows\currentversion\run] 'Replace6004' = 'wscript.exe //B "%APPDATA%\Replace6004.vbs"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\replace3002.vbs
- %APPDATA%\microsoft\windows\start menu\programs\startup\replace6004.vbs
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\replace3002.vbs
- <Имя диска съемного носителя>:\replace6004.vbs
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM wscript.exe /F
- '<SYSTEM32>\taskkill.exe' /IM wscript.exe /F
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\wscript.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\3002\del.bat
- %APPDATA%\3002\deltemp.vbs
- %APPDATA%\3002\install.vbs
- %APPDATA%\3002\killroaming.vbs
- %APPDATA%\3002\killstatrup.vbs
- %APPDATA%\3002\replace3002.vbs
- %APPDATA%\3002\6004.exe
- %APPDATA%\replace3002.vbs
- %APPDATA%\6004\replace6004.vbs
- %APPDATA%\6004\del.bat
- %APPDATA%\6004\deltemp.vbs
- %APPDATA%\6004\install.vbs
- %APPDATA%\6004\killroaming.vbs
- %APPDATA%\6004\killstatrup.vbs
- %APPDATA%\replace6004.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\replace3002.vbs
- <Имя диска съемного носителя>:\replace6004.vbs
Удаляет следующие файлы
- %WINDIR%\temp\adobearm.log
- %WINDIR%\temp\8147932992814195939363050711163993686\adobearm.exe
- %WINDIR%\temp\ts_8e67.tmp
- %WINDIR%\temp\ts_77d1.tmp
- %WINDIR%\temp\ts_5080.tmp
- %WINDIR%\temp\ts_4f66.tmp
- %WINDIR%\temp\ts_39ba.tmp
- %WINDIR%\temp\ts_3852.tmp
- %APPDATA%\replace3002.vbs
- %WINDIR%\temp\ts_361e.tmp
- %WINDIR%\temp\ts_2bfb.tmp
- %WINDIR%\temp\ts_2b0f.tmp
- %WINDIR%\temp\ts_267a.tmp
- %WINDIR%\temp\fxstiffdebuglogfile.txt
- %WINDIR%\temp\fxsapidebuglogfile.txt
- %WINDIR%\temp\fwtsqmfile00.sqm
- %WINDIR%\temp\dmi8538.tmp
- %WINDIR%\temp\ts_316a.tmp
- %APPDATA%\microsoft\windows\start menu\programs\startup\replace3002.vbs
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Windows\<INETFILES>\desktop.ini
- %LOCALAPPDATA%\Microsoft\Windows\<INETFILES>\Content.IE5\desktop.ini
Сетевая активность
Подключается к
- 'ne###19.mine.nu':3002
- 'ne###19.mine.nu':6004
UDP
- DNS ASK ne###19.mine.nu
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\3002\install.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\3002\killroaming.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\3002\killstatrup.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\3002\deltemp.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\3002\Replace3002.vbs"
- '%WINDIR%\syswow64\wscript.exe' //B "%APPDATA%\Replace3002.vbs"
- '%APPDATA%\3002\6004.exe'
- '<SYSTEM32>\wscript.exe' "%APPDATA%\6004\install.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\6004\killroaming.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\6004\killstatrup.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\6004\deltemp.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\6004\Replace6004.vbs"
- '<SYSTEM32>\wscript.exe' //B "%APPDATA%\Replace6004.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\3002\del.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\6004\del.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\3002\del.bat" "
- '%WINDIR%\syswow64\timeout.exe' /t 2
- '%WINDIR%\syswow64\timeout.exe' /t 5
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\6004\del.bat" "
- '<SYSTEM32>\timeout.exe' /t 2
- '<SYSTEM32>\timeout.exe' /t 5
