Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\tmped47.tmp
- <SYSTEM32>\tasks\tmp23ae.tmp
- <SYSTEM32>\tasks\tmpb25d.tmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\wqnibidp.exe
- %TEMP%\file.exe
- %TEMP%\tmp12d4.tmp.exe
- %TEMP%\tmped47.tmp.exe
- %TEMP%\tmp1633.tmp.exe
- %LOCALAPPDATA%\servicehub\tmped47.tmp.exe
- %TEMP%\executable.exe
- %TEMP%\tmpb25d.tmp.exe
- %TEMP%\tmp2427.tmp.exe
- %TEMP%\jre-7u75-windows-i586-iftw.exe
- %LOCALAPPDATA%\servicehub\tmpb25d.tmp.exe
- %TEMP%\tmp23ae.tmp.exe
- %LOCALAPPDATA%\servicehub\tmp23ae.tmp.exe
- %TEMP%\w.exe
- %TEMP%\jinstall.cfg
Удаляет следующие файлы
- %TEMP%\tmped47.tmp.exe
- %TEMP%\tmpb25d.tmp.exe
- %TEMP%\tmp23ae.tmp.exe
Изменяет следующие файлы
- %TEMP%\jusched.log
Сетевая активность
Подключается к
- 'ja#######d-secure.oracle.com':443
- 'c.###nlink.golf':80
- 'ja####.oracle.com':80
- 'ja####.oracle.com':443
- 'ja####-esd.sun.com':80
- 'oc##.thawte.com':80
TCP
Запросы HTTP GET
- http://c.###nlink.golf/sa/w.exe
- http://ja####.oracle.com/webapps/download/GetFile/1.7.0_75-b13/windows-i586/Java3BillDevices_en.jpg
- http://ja####-esd.sun.com/update/1.7.0/sp-1.7.0_75-b13/java_sp.dll
- http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D
Другие
- 'ja#######d-secure.oracle.com':443
- 'ja####.oracle.com':443
UDP
- DNS ASK ja#######d-secure.oracle.com
- DNS ASK c.###nlink.golf
- DNS ASK ja####.oracle.com
- DNS ASK ja####-esd.sun.com
- DNS ASK oc##.thawte.com
- DNS ASK st####.rapidssl.com
Другое
Создает и запускает на исполнение
- '%TEMP%\wqnibidp.exe'
- '%TEMP%\tmpb25d.tmp.exe'
- '%TEMP%\file.exe'
- '%TEMP%\tmp12d4.tmp.exe'
- '%TEMP%\tmp1633.tmp.exe'
- '%TEMP%\executable.exe'
- '%TEMP%\tmped47.tmp.exe'
- '%TEMP%\tmp2427.tmp.exe'
- '%LOCALAPPDATA%\servicehub\tmp23ae.tmp.exe'
- '%TEMP%\tmp23ae.tmp.exe'
- '%LOCALAPPDATA%\servicehub\tmpb25d.tmp.exe'
- '%LOCALAPPDATA%\servicehub\tmped47.tmp.exe'
- '%TEMP%\jre-7u75-windows-i586-iftw.exe'
- '%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmpED47.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpED47.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmpED47.tmp.exe" &&STA...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmp23AE.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmp23AE.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmp23AE.tmp.exe" &&STA...' (со скрытым окном)
- '%LOCALAPPDATA%\servicehub\tmpb25d.tmp.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmpB25D.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpB25D.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmpB25D.tmp.exe" &&STA...' (со скрытым окном)
- '%LOCALAPPDATA%\servicehub\tmp23ae.tmp.exe' ' (со скрытым окном)
- '%LOCALAPPDATA%\servicehub\tmped47.tmp.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmpED47.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpED47.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmpED47.tmp.exe" &&STA...
- '%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmpB25D.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpB25D.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmpB25D.tmp.exe" &&STA...
- '%WINDIR%\syswow64\chcp.com' 65001
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' /C chcp 65001 && ping 127.0.0.1 && schtasks /create /tn "tmp23AE.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmp23AE.tmp.exe" /rl HIGHEST /f && DEL /F /S /Q /A "%TEMP%\tmp23AE.tmp.exe" &&STA...
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "tmpB25D.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpB25D.tmp.exe" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "tmpED47.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmpED47.tmp.exe" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "tmp23AE.tmp" /sc MINUTE /tr "%LOCALAPPDATA%\ServiceHub\tmp23AE.tmp.exe" /rl HIGHEST /f
- '<SYSTEM32>\taskeng.exe' {06B4D69B-12CB-4671-ACB4-A287A6EC5EA7} S-1-5-21-1960123792-2022915161-3775307078-1001:tlcaezs\user:Interactive:[1]
