VBS.Starter.321

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'conhost' = '"C:\webperf\conhost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'conhost' = '"C:\webperf\conhost.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\webperf\conhost.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\SubsetList\Idle.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\SubsetList\Idle.exe"'
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\webperf\conhost.exe", "%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\SubsetList\Idl...
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"<Текущая директория>\taskhost.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"<Текущая директория>\taskhost.exe"'
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%ProgramFiles(x86)%\Windows Portable Devices\csrss.exe"'
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%ProgramFiles(x86)%\Windows Portable Devices\csrss.exe"'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\conhost
<SYSTEM32>\tasks\conhostc
<SYSTEM32>\tasks\idlei
<SYSTEM32>\tasks\idle

Вредоносные функции

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

C:\webperf\msproviderbrowserhostcrt.exe
%TEMP%\2i4nhfrm.0.cs
C:\webperf\088424020bedd6
C:\webperf\conhost.exe
%ProgramFiles(x86)%\reference assemblies\microsoft\framework\v3.5\subsetlist\6ccacd8608530f
%ProgramFiles(x86)%\reference assemblies\microsoft\framework\v3.5\subsetlist\idle.exe
<Текущая директория>\b75386f1303e64
<Текущая директория>\taskhost.exe
%ProgramFiles(x86)%\windows portable devices\886983d96e3d3e
%ProgramFiles(x86)%\windows portable devices\csrss.exe
%TEMP%\2i4nhfrm.cmdline
%ProgramFiles%\mozilla firefox\browser\features\0fc223bdacedc3
C:\webperf\348dca00d2da97
%HOMEPATH%\desktop\fsgrmyya.log
%HOMEPATH%\desktop\owpgwroh.log
%HOMEPATH%\desktop\wzxwfldo.log
%HOMEPATH%\desktop\ngobzxjd.log
%HOMEPATH%\desktop\tczhnyeo.log
%HOMEPATH%\desktop\daedsqcz.log
C:\webperf\efjokjh.bat
C:\webperf\2ssuigabpcoevwhgvghyckoc1ywjefgn3rmhkapc8qhcai.vbe
%ProgramFiles%\mozilla firefox\browser\features\firefox.exe
%TEMP%\2i4nhfrm.out

Удаляет следующие файлы

%TEMP%\2i4nhfrm.0.cs
%TEMP%\2i4nhfrm.out
%TEMP%\2i4nhfrm.cmdline

Перемещает следующие файлы

%ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe

Другое

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "C:\webperf\2sSUIGAbpcOeVWhgVGHYCkoC1ywjEFgn3RmhkaPc8qhCAI.vbe"
'C:\webperf\msproviderbrowserhostcrt.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""C:\webperf\efJokjH.bat" "' (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2i4nhfrm.cmdline"' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /C "%TEMP%\WHdPEaB9NG.bat"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""C:\webperf\efJokjH.bat" "
'<SYSTEM32>\cmd.exe' /C "%TEMP%\WHdPEaB9NG.bat"
'<SYSTEM32>\schtasks.exe' /create /tn "msProviderBrowserHostCrtm" /sc MINUTE /mo 10 /tr "'C:\webperf\msProviderBrowserHostCrt.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "msProviderBrowserHostCrt" /sc ONLOGON /tr "'C:\webperf\msProviderBrowserHostCrt.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "msProviderBrowserHostCrtm" /sc MINUTE /mo 8 /tr "'C:\webperf\msProviderBrowserHostCrt.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Mozilla Firefox\browser\features\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles%\Mozilla Firefox\browser\features\firefox.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 12 /tr "'%ProgramFiles%\Mozilla Firefox\browser\features\firefox.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 11 /tr "'%ProgramFiles(x86)%\Windows Portable Devices\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Portable Devices\csrss.exe'" /rl HIGHEST /f
'<SYSTEM32>\chcp.com' 65001
'<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 5 /tr "'%ProgramFiles(x86)%\Windows Portable Devices\csrss.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'<Текущая директория>\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 13 /tr "'<Текущая директория>\taskhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 14 /tr "'%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\SubsetList\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\SubsetList\Idle.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 8 /tr "'%ProgramFiles(x86)%\Reference Assemblies\Microsoft\Framework\v3.5\SubsetList\Idle.exe'" /f
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2i4nhfrm.cmdline"
'<SYSTEM32>\schtasks.exe' /create /tn "conhostc" /sc MINUTE /mo 14 /tr "'C:\webperf\conhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "conhost" /sc ONLOGON /tr "'C:\webperf\conhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\schtasks.exe' /create /tn "conhostc" /sc MINUTE /mo 5 /tr "'C:\webperf\conhost.exe'" /f
'<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 13 /tr "'<Текущая директория>\taskhost.exe'" /rl HIGHEST /f
'<SYSTEM32>\ping.exe' -n 10 localhost