Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'knevohutkfcrulodwbq' = '%WINDIR%\SysWOW64\srv59.exe'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\rwhgropoxlSv\Parameters] 'ServiceDll' = '%WINDIR%\SysWOW64\svcrwhgrop.dll'
- [HKLM\System\CurrentControlSet\Services\rwhgropoxlSv] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\rwhgropoxlSv] 'ImagePath' = '<SYSTEM32>\svchost.exe -k DcomSec'
Создает следующие сервисы
- 'rwhgropoxlSv' <SYSTEM32>\svchost.exe -k DcomSec
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\system.log1
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\windows\temp\lspa016.exe
- D:\windows\temp\lspad22.exe
- D:\users\user\appdata\local\temp\werad3f.tmp.appcompat.txt
- D:\users\user\appdata\local\temp\weraed6.tmp.werinternalmetadata.xml
- D:\windows\temp\lspb9ef.exe
- D:\windows\temp\lspc6cb.exe
- D:\windows\temp\lspd492.exe
- D:\windows\temp\lspe17e.exe
- D:\windows\temp\lspee7a.exe
- D:\windows\system32\config\default.log1
- D:\windows\system32\config\default
- D:\windows\temp\lspfada.exe
- D:\windows\temp\lsp814.exe
- D:\windows\temp\lsp14f1.exe
- D:\windows\temp\lsp222b.exe
- D:\users\user\appdata\local\temp\weraf34.tmp.hdmp
- D:\windows\temp\lsp3262.exe
- D:\windows\temp\lsp3e83.exe
- D:\windows\syswow64\werfault.exe
- D:\windows\temp\lsp4d14.exe
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\temp\lsp6538.exe
- D:\windows\system32\config\system
- D:\logbot.txt
- D:\users\user\appdata\local\temp\liseec1.tmp
- D:\windows\syswow64\srv59.exe
- D:\windows\syswow64\svcrwhgrop.dll
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\users\user\ntuser.dat.log1
- D:\users\user\ntuser.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\system volume information\syscache.hve.log1
- D:\system volume information\syscache.hve
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-wer-diag%4operational.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-fault-tolerant-heap%4operational.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\users\user\appdata\local\temp\lse6799.tmp
- D:\windows\temp\lsp5c9f.exe
Удаляет следующие файлы
- D:\windows\temp\lsp6538.exe
- D:\windows\temp\lspa016.exe
- D:\windows\temp\lspad22.exe
- D:\windows\temp\lspb9ef.exe
- D:\windows\temp\lspc6cb.exe
- D:\windows\temp\lspd492.exe
- D:\windows\temp\lspe17e.exe
- D:\windows\temp\lspee7a.exe
- D:\windows\temp\lspfada.exe
- D:\windows\temp\lsp814.exe
- D:\windows\temp\lsp14f1.exe
- D:\windows\temp\lsp222b.exe
- D:\windows\temp\lsp3262.exe
- D:\windows\temp\lsp3e83.exe
- D:\windows\temp\lsp4d14.exe
- D:\windows\temp\lsp5c9f.exe
Сетевая активность
TCP
Другие
- 'localhost':49158
- '35.##1.9.150':443
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- 'D:\windows\temp\lsp814.exe'
- 'D:\windows\temp\lspa016.exe'
- 'D:\windows\syswow64\werfault.exe' -u -p 2392 -s 524
- 'D:\windows\temp\lsp5c9f.exe'
- 'D:\windows\temp\lspad22.exe'
- 'D:\windows\temp\lspc6cb.exe'
- 'D:\windows\temp\lspb9ef.exe'
- 'D:\windows\temp\lsp4d14.exe'
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp814.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp8D05.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp80D4.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp6AA4.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp3262.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp4D14.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp3E83.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp14F1.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp222B.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp5C9F.exe"' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 2080 -s 1144' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 2236 -s 1540' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspA863.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspAD22.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspFADA.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspEE7A.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspA016.exe"' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 2392 -s 524' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp6538.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspB9EF.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspC6CB.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspD492.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspE17E.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lsp9936.exe"' (со скрытым окном)
- 'D:\windows\syswow64\cmd.exe' /c start "" "%WINDIR%\TEMP\lspB4B4.exe"' (со скрытым окном)
