Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %ALLUSERSPROFILE%\nirds\winsys340752384.exe1.lnk
- <SYSTEM32>\tasks\gwinsys340752384.exe
- <SYSTEM32>\tasks\swinsys340752384.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im hh.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\nirds\auids.log
- %ALLUSERSPROFILE%\nirds\loterprinta.jpg
- %ALLUSERSPROFILE%\nirds\loterprintb.jpg
- %ALLUSERSPROFILE%\nirds\loterprintc.jpg
- %ALLUSERSPROFILE%\nirds\loterprintdwwn.gif
- %ALLUSERSPROFILE%\nirds\loterprinte.jpg
- %ALLUSERSPROFILE%\nirds\loterprintf.jpg
- %ALLUSERSPROFILE%\nirds\loterprintg.gif
- %ALLUSERSPROFILE%\nirds\winsys340752384.exe.lnk
- %APPDATA%\winsys340752384.exe.chm
- %ALLUSERSPROFILE%\nirds\winsys340752384.exe.dll
- %ALLUSERSPROFILE%\nirds\r2.log
- %ALLUSERSPROFILE%\nirds\winsys340752384.exe
- %ALLUSERSPROFILE%\nirds\winsys340752384.exe1.lnk
Сетевая активность
Подключается к
- 'ma#######rtifera.4mydomain.com':443
- 'ma#######rtifera.4mydomain.com':80
TCP
Запросы HTTP GET
- http://ma#######rtifera.4mydomain.com/01/loterprinta.jpg.zip?35#######
- http://ma#######rtifera.4mydomain.com/01/loterprintb.jpg.zip?98######
- http://ma#######rtifera.4mydomain.com/01/loterprintc.jpg.zip?58#######
- http://ma#######rtifera.4mydomain.com/01/loterprintdwwn.gif.zip?53#######
- http://ma#######rtifera.4mydomain.com/01/loterprinte.jpg.zip?34#######
- http://ma#######rtifera.4mydomain.com/01/loterprintf.jpg.zip?97#######
- http://ma#######rtifera.4mydomain.com/01/loterprintg.gif.zip?14#######
- http://ma#######rtifera.4mydomain.com/01/gerarh3v108.php?&n#############################################################################
- http://ma#######rtifera.4mydomain.com/01/v108doc12.zip
- http://ma#######rtifera.4mydomain.com/01/gerarh1v108?28#######
- http://ma#######rtifera.4mydomain.com/01//rr.php?xx########################################
- http://ma#######rtifera.4mydomain.com/01/gerarhv108?52#######
Другие
- 'ma#######rtifera.4mydomain.com':443
UDP
- DNS ASK ma#######rtifera.4mydomain.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im hh.exe' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Delete /TN GWinSys185816567.exe /f' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Delete /TN SWinSys185816567.exe /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy "%ALLUSERSPROFILE%\nirds\WinSys340752384.exe.lnk" "%ALLUSERSPROFILE%\nirds\WinSys340752384.exe1.lnk"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c move "%ALLUSERSPROFILE%\nirds\WinSys340752384.exe1.lnk" "%APPDATA%\microsoft\windows\start menu\programs\startup\googlesystem.lnk"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k schtasks /create /tn GWinSys340752384.exe /tr "Explorer /e,/start,%ALLUSERSPROFILE%\nirds\WinSys340752384.exe.lnk" /sc minute /mo 15 /f & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k schtasks /create /tn SWinSys340752384.exe /tr "%APPDATA%\WinSys340752384.exe.chm" /sc minute /mo 45 /f & exit' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Delete /TN GWinSys185816567.exe /f
- '<SYSTEM32>\schtasks.exe' /Delete /TN SWinSys185816567.exe /f
- '<SYSTEM32>\cmd.exe' /c copy "%ALLUSERSPROFILE%\nirds\WinSys340752384.exe.lnk" "%ALLUSERSPROFILE%\nirds\WinSys340752384.exe1.lnk"
- '<SYSTEM32>\cmd.exe' /c move "%ALLUSERSPROFILE%\nirds\WinSys340752384.exe1.lnk" "%APPDATA%\microsoft\windows\start menu\programs\startup\googlesystem.lnk"
- '<SYSTEM32>\cmd.exe' /k schtasks /create /tn GWinSys340752384.exe /tr "Explorer /e,/start,%ALLUSERSPROFILE%\nirds\WinSys340752384.exe.lnk" /sc minute /mo 15 /f & exit
- '<SYSTEM32>\schtasks.exe' /create /tn GWinSys340752384.exe /tr "Explorer /e,/start,%ALLUSERSPROFILE%\nirds\WinSys340752384.exe.lnk" /sc minute /mo 15 /f
- '<SYSTEM32>\cmd.exe' /k schtasks /create /tn SWinSys340752384.exe /tr "%APPDATA%\WinSys340752384.exe.chm" /sc minute /mo 45 /f & exit
- '<SYSTEM32>\schtasks.exe' /create /tn SWinSys340752384.exe /tr "%APPDATA%\WinSys340752384.exe.chm" /sc minute /mo 45 /f
