Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent d07a1054a25ffc51
- <SYSTEM32>\tasks\explothe.exe
- <SYSTEM32>\tasks\oneetx.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Системный антивирус (Защитник Windows)
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\eehuwbw
- %TEMP%\etilqs_ekcwl6tcbzt3jax
- %TEMP%\etilqs_pz3alx53fcaarjg
- %TEMP%\etilqs_tbqdumiom7pajqy
- %TEMP%\etilqs_qmrniomwyri8wqg
- %TEMP%\etilqs_ecl4jhw9udjkiav
- %TEMP%\etilqs_kek3zqmomgk7n8f
- %TEMP%\etilqs_zbspyvkcguhwuut
- %TEMP%\207aa4515d\oneetx.exe
- %TEMP%\8c11.exe
- %TEMP%\850e.exe
- %TEMP%\75a2.exe
- %TEMP%\fefffe8cea\explothe.exe
- %TEMP%\6a99.exe
- %TEMP%\etilqs_gfdtgxzcq2wzuvf
- %TEMP%\654b.exe
- %TEMP%\ixp004.tmp\2sd430rm.exe
- %TEMP%\ixp004.tmp\1jp63ww9.exe
- %TEMP%\5024.bat
- %TEMP%\ixp003.tmp\3wt8mk79.exe
- %TEMP%\ixp003.tmp\tr5pu3pi.exe
- %TEMP%\ixp002.tmp\4mo321qx.exe
- %TEMP%\ixp002.tmp\ri9xi0oc.exe
- %TEMP%\ixp001.tmp\5br22va.exe
- %TEMP%\ixp001.tmp\yc1zu3um.exe
- %TEMP%\48c3.exe
- %TEMP%\ixp000.tmp\6jt39vi.exe
- %TEMP%\ixp000.tmp\wl4cq6dc.exe
- %TEMP%\41b1.exe
- %TEMP%\5d5e.exe
- %TEMP%\etilqs_3zolsdij6tuhncg
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\eehuwbw
Удаляет следующие файлы
- %WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe
Сетевая активность
Подключается к
- '77.#1.68.29':80
- 'en.###ipedia.org':443
- 'se####.yahoo.com':443
- 'en.###ipedia.org':80
- 'am##on.com':443
- 'bing.com':80
- 'am##on.com':80
- 'du###uckgo.com':443
- 're###.opera.com':80
- 'se####.yahoo.com':80
- 'au######te.geo.opera.com':443
- 'au######te.geo.opera.com':80
- '77.#1.68.78':80
- '77.#1.124.1':80
- '17#.#2.28.213':80
- '5.##.65.80':80
- '77.#1.68.52':80
- 'google.com':80
- 'si#####ck2.opera.com':80
TCP
Запросы HTTP GET
- http://77.#1.68.52/fuza/2.bat
- http://5.##.65.80/rinkas.exe
- http://17#.#2.28.213/1.exe
- http://77.#1.68.78/lend/trafico.exe
- http://au######te.geo.opera.com/geolocation/
- http://www.google.com/favicon.ico
- http://se####.yahoo.com/favicon.ico
- http://www.am##on.com/favicon.ico
- http://www.bing.com/s/a/bing_p.ico
- http://en.###ipedia.org/favicon.ico
- http://re###.opera.com/www.opera.com/firstrun/
- http://si#####ck2.opera.com/?ho###################################################
Запросы HTTP POST
- http://77.#1.124.1/theme/index.php
- http://77.#1.68.29/fks/
- http://5.##.65.80/8bmeVwqx/index.php
Другие
- 'au######te.geo.opera.com':443
- 'du###uckgo.com':443
- 'am##on.com':443
- 'se####.yahoo.com':443
- 'en.###ipedia.org':443
UDP
- DNS ASK google.com
- DNS ASK au######te.geo.opera.com
- DNS ASK se####.yahoo.com
- DNS ASK du###uckgo.com
- DNS ASK am##on.com
- DNS ASK bing.com
- DNS ASK bi##.#ikimedia.org
- DNS ASK en.###ipedia.org
- DNS ASK re###.opera.com
- DNS ASK si#####ck2.opera.com
Другое
Ищет следующие окна
- ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'
Создает и запускает на исполнение
- '%TEMP%\41b1.exe'
- '%TEMP%\207aa4515d\oneetx.exe'
- '%TEMP%\850e.exe'
- '%TEMP%\75a2.exe'
- '%TEMP%\fefffe8cea\explothe.exe'
- '%TEMP%\6a99.exe'
- '%TEMP%\48c3.exe'
- '%TEMP%\654b.exe'
- '%TEMP%\5d5e.exe'
- '%TEMP%\ixp000.tmp\wl4cq6dc.exe'
- '%TEMP%\ixp002.tmp\ri9xi0oc.exe'
- '%TEMP%\ixp001.tmp\yc1zu3um.exe'
- '%TEMP%\ixp003.tmp\tr5pu3pi.exe'
- '%TEMP%\ixp004.tmp\1jp63ww9.exe'
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN explothe.exe /TR "%TEMP%\fefffe8cea\explothe.exe" /F' (со скрытым окном)
- '%TEMP%\ixp003.tmp\tr5pu3pi.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\207aa4515d\oneetx.exe" /F' (со скрытым окном)
- '%TEMP%\207aa4515d\oneetx.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k echo Y|CACLS "explothe.exe" /P "user:N"&&CACLS "explothe.exe" /P "user:R" /E&&echo Y|CACLS "..\fefffe8cea" /P "user:N"&&CACLS "..\fefffe8cea" /P "user:R" /E&&Exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k echo Y|CACLS "oneetx.exe" /P "user:N"&&CACLS "oneetx.exe" /P "user:R" /E&&echo Y|CACLS "..\207aa4515d" /P "user:N"&&CACLS "..\207aa4515d" /P "user:R" /E&&Exit' (со скрытым окном)
- '%TEMP%\ixp001.tmp\yc1zu3um.exe' ' (со скрытым окном)
- '%TEMP%\ixp004.tmp\1jp63ww9.exe' ' (со скрытым окном)
- '%TEMP%\ixp002.tmp\ri9xi0oc.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\5024.bat" "' (со скрытым окном)
- '%TEMP%\fefffe8cea\explothe.exe' ' (со скрытым окном)
- '%TEMP%\ixp000.tmp\wl4cq6dc.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\006700e5a2ab05\clip64.dll, Main' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.4.1245593284\1176744074" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.5.951187492\2043158878" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="2220.4.1245593284\1176744074" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=1456
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.6.514303669\606503143" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.7.1950570554\1849678651" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.8.1322594274\1777837099" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.9.1860753656\29354347" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.10.788301726\211280285" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%WINDIR%\syswow64\cacls.exe' "explothe.exe" /P "user:N"
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.11.72706505\1439525764" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.13.704466243\239725356" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.14.1783056836\1961973849" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.15.565510372\1838658542" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.16.2054543400\1946472808" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '<SYSTEM32>\taskeng.exe' {8098EE8E-EBF5-4D5E-991C-28E535E3506E} S-1-5-21-3150914307-1777937420-491476919-1000:rxraoak\user:Interactive:[1]
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.20.1003438694\213441901" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\006700e5a2ab05\clip64.dll, Main
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.21.1527446527\1818854641" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="572.0.498385358\319776333" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-d...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2220.0.1166684863\2051633054" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gp...
- '%WINDIR%\syswow64\cacls.exe' "..\207aa4515d" /P "user:R" /E
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://www.facebook.com/login"
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://accounts.google.com/"
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://accounts.google.com/
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://www.facebook.com/login
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://accounts.google.com/ /crash-reporter-parent-id=572
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.facebook.com/login /crash-reporter-parent-id=2220
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN explothe.exe /TR "%TEMP%\fefffe8cea\explothe.exe" /F
- '%WINDIR%\syswow64\cmd.exe' /k echo Y|CACLS "explothe.exe" /P "user:N"&&CACLS "explothe.exe" /P "user:R" /E&&echo Y|CACLS "..\fefffe8cea" /P "user:N"&&CACLS "..\fefffe8cea" /P "user:R" /E&&Exit
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.22.126141029\653178446" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.12.1231899828\1305247287" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Y"
- '%WINDIR%\syswow64\cacls.exe' "..\fefffe8cea" /P "user:N"
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\207aa4515d\oneetx.exe" /F
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe'
- '%WINDIR%\syswow64\cmd.exe' /k echo Y|CACLS "oneetx.exe" /P "user:N"&&CACLS "oneetx.exe" /P "user:R" /E&&echo Y|CACLS "..\207aa4515d" /P "user:N"&&CACLS "..\207aa4515d" /P "user:R" /E&&Exit
- '%WINDIR%\syswow64\cacls.exe' "..\fefffe8cea" /P "user:R" /E
- '%WINDIR%\syswow64\cacls.exe' "oneetx.exe" /P "user:N"
- '%WINDIR%\syswow64\cacls.exe' "oneetx.exe" /P "user:R" /E
- '%WINDIR%\syswow64\cacls.exe' "..\207aa4515d" /P "user:N"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\5024.bat" "
- '%WINDIR%\syswow64\cacls.exe' "explothe.exe" /P "user:R" /E
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="2220.23.1269424181\1402739253" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
