Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'system recover' = '"%ProgramFiles(x86)%\Microsoft Visual Studio 8\Wyhinypymy.exe"'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-32d6o.tmp\<Имя файла>.tmp
- %TEMP%\is-a070m.tmp\_isetup\_setup64.tmp
- %TEMP%\is-a070m.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-a070m.tmp\idp.dll
- %TEMP%\is-a070m.tmp\ikos.exe
- %TEMP%\1b-f0591-29b-7c4ab-5ef33b899c60b\jytusigegi.exe
- %TEMP%\1b-f0591-29b-7c4ab-5ef33b899c60b\jytusigegi.exe.config
- %TEMP%\cc-9bd72-eda-86f88-636e947d92840\kenessey.txt
- %TEMP%\cc-9bd72-eda-86f88-636e947d92840\zhaegipihuve.exe
- %TEMP%\cc-9bd72-eda-86f88-636e947d92840\zhaegipihuve.exe.config
- %ProgramFiles(x86)%\microsoft visual studio 8\wyhinypymy.exe
- %ProgramFiles(x86)%\microsoft visual studio 8\wyhinypymy.exe.config
- %TEMP%\zoalcsss.30z\gcleanereu.exe
- %TEMP%\c4otfptr.fnq\installer.exe
Сетевая активность
Подключается к
- 'pi######.s3.pl-waw.scw.cloud':80
- 'co###ctini.net':443
- 'na####.#3.pl-waw.scw.cloud':80
- 'do######.s3.pl-waw.scw.cloud':443
- 'google.com':80
- '36####tracking.com':80
- 'se#####.herokuapp.com':443
- '2.##.149.159':80
- 'pr#######etrustednetwork.com':443
- 'ip###ger.org':443
- 'so#####.kapetownlink.com':80
- 'ht####ownload.pw':80
- 'se###.maskvpn.cc':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://pi######.s3.pl-waw.scw.cloud/cul-pub/poweroff.exe
- http://na####.#3.pl-waw.scw.cloud/jiraya/pub-Er48vQ7WjnpYHkzg.exe
- http://na####.#3.pl-waw.scw.cloud/jiraya/upda-EmPTk8Y5AwUVN3Uc.exe
- http://na####.#3.pl-waw.scw.cloud/jiraya/hand-7uHZR55Px4Ah5PxP.exe
- http://www.google.com/
- http://2.##.149.159/load.php?pu#########
- http://so#####.kapetownlink.com/installer.exe
Запросы HTTP POST
- http://36####tracking.com/swx48zfhj5g44ume/vivid
Другие
- 'co###ctini.net':443
- 'pi######.s3.pl-waw.scw.cloud':443
- 'se#####.herokuapp.com':443
- 'pr#######etrustednetwork.com':443
- 'ip###ger.org':443
- 'se###.maskvpn.cc':443
UDP
- DNS ASK pi######.s3.pl-waw.scw.cloud
- DNS ASK co###ctini.net
- DNS ASK na####.#3.pl-waw.scw.cloud
- DNS ASK do######.s3.pl-waw.scw.cloud
- DNS ASK google.com
- DNS ASK 36####tracking.com
- DNS ASK se#####.herokuapp.com
- DNS ASK pr#######etrustednetwork.com
- DNS ASK ip###ger.org
- DNS ASK so#####.kapetownlink.com
- DNS ASK ht####ownload.pw
- DNS ASK se###.maskvpn.cc
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-32d6o.tmp\<Имя файла>.tmp' /SL5="$B0232,506127,422400,<Полный путь к файлу>"
- '%TEMP%\is-a070m.tmp\ikos.exe' /S /UID=1405
- '%TEMP%\1b-f0591-29b-7c4ab-5ef33b899c60b\jytusigegi.exe'
- '%TEMP%\cc-9bd72-eda-86f88-636e947d92840\zhaegipihuve.exe'
- '%TEMP%\zoalcsss.30z\gcleanereu.exe' /eufive
- '%TEMP%\c4otfptr.fnq\installer.exe' /qn CAMPAIGN=
- '%TEMP%\is-a070m.tmp\ikos.exe' /S /UID=1405' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\zoalcsss.30z\GcleanerEU.exe /eufive & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %TEMP%\c4otfptr.fnq\installer.exe /qn CAMPAIGN= & exit' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://www.pr#######etrustednetwork.com/e2q8zu9hu?ke##################################
- '<SYSTEM32>\cmd.exe' /k %TEMP%\zoalcsss.30z\GcleanerEU.exe /eufive & exit
- '<SYSTEM32>\cmd.exe' /k %TEMP%\c4otfptr.fnq\installer.exe /qn CAMPAIGN= & exit
