Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\SNMPTRAP] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы
- <SYSTEM32>\snmptrap.exe
Заражает следующие исполняемые файлы
- <SYSTEM32>\snmptrap.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\e4rtnu~1
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms.0riz0n_readme
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab.0riz0n_readme
- %WINDIR%\temp\3xe3acc.tmp
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml.0riz0n_readme
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi.0riz0n_readme
- C:\kms\kms_vl_all_aio_debug.log.0riz0n_readme
- C:\kms\kms_vl_all_aio.cmd.0riz0n_readme
- %WINDIR%\temp\d381b.tmp
- %WINDIR%\temp\bn9382c.tmp
- %WINDIR%\temp\nfz3626.tmp
- %WINDIR%\temp\ouj3636.tmp
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi.0riz0n_readme
- %WINDIR%\temp\xg33b4.tmp
- %WINDIR%\temp\0q3124.tmp
- %WINDIR%\temp\5ga2df5.tmp
- %WINDIR%\temp\h532e06.tmp
- %WINDIR%\temp\3s2a4b.tmp
- %WINDIR%\temp\x2a1c.tmp
- D:\install.log.0riz0n_readme
- %APPDATA%\0ovomx~1:bin
- %APPDATA%\0ovomx~1
- <SYSTEM32>\snmptrap.exe:0
- %TEMP%\521b2e.tmp
- %APPDATA%\e4rtnu~1:bin
- %WINDIR%\temp\k3113.tmp
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml.0riz0n_readme
Удаляет следующие файлы
- %APPDATA%\e4rtnu~1
- %WINDIR%\temp\3s2a4b.tmp
- %WINDIR%\temp\5ga2df5.tmp
- %WINDIR%\temp\h532e06.tmp
- %WINDIR%\temp\k3113.tmp
- %WINDIR%\temp\0q3124.tmp
- %WINDIR%\temp\xg33b4.tmp
- %WINDIR%\temp\nfz3626.tmp
- %WINDIR%\temp\ouj3636.tmp
- %WINDIR%\temp\d381b.tmp
- %WINDIR%\temp\bn9382c.tmp
- %WINDIR%\temp\3xe3acc.tmp
- %APPDATA%\0ovomx~1
Изменяет следующие файлы
- D:\install.log
- C:\kms\kms_vl_all_aio.cmd
- C:\kms\kms_vl_all_aio_debug.log
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.msi
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\office32ww.xml
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\owow32ww.cab
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\pkeyconfig-office.xrm-ms
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.msi
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\proplusww.xml
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\propsww.cab
Самоудаляется.
Сетевая активность
Подключается к
- 'ig##.mcast.net':445
UDP
- DNS ASK 1.##.#.10.in-addr.arpa
- DNS ASK 25#.##.#.10.in-addr.arpa
- DNS ASK 22.#.#.224.in-addr.arpa
- DNS ASK 25#.#.#.224.in-addr.arpa
- DNS ASK 25#.###.#55.255.in-addr.arpa
- DNS ASK ig##.mcast.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\e4rtnu~1:bin' <Полный путь к файлу>
- '%APPDATA%\0ovomx~1:bin'
Запускает на исполнение
- '<SYSTEM32>\takeown.exe' /F <SYSTEM32>\snmptrap.exe
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\snmptrap.exe /reset
- '<SYSTEM32>\snmptrap.exe'
- '<SYSTEM32>\arp.exe' -a
- '<SYSTEM32>\nslookup.exe' 10.0.39.1
- '<SYSTEM32>\nslookup.exe' 10.0.39.255
- '<SYSTEM32>\nslookup.exe' 224.0.0.22
- '<SYSTEM32>\nslookup.exe' 224.0.0.252
- '<SYSTEM32>\nslookup.exe' 255.255.255.255
- '<SYSTEM32>\net.exe' view igmp.mcast.net
