Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'CSRSS' = '"%ALLUSERSPROFILE%\Drivers\csrss.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent a925154be2044852
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- 25c9.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\jviweew
- %TEMP%\is-jkf6l.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-jkf6l.tmp\_isetup\_setup64.tmp
- %TEMP%\is-jkf6l.tmp\_isetup\_regdll.tmp
- %TEMP%\e22a.exe
- %TEMP%\is-6dkdu.tmp\5f91.tmp
- %TEMP%\981f.exe
- %TEMP%\4kpv6a~1\cached-microdescs.new
- %TEMP%\4kpv6a~1\cached-microdesc-consensus.tmp
- %TEMP%\4kpv6a~1\cached-certs.tmp
- %TEMP%\4kpv6a~1\unverified-microdesc-consensus.tmp
- %TEMP%\5f91.exe
- %TEMP%\4kpv6a~1\state.tmp
- %TEMP%\4f3b.dll
- %ALLUSERSPROFILE%\drivers\csrss.exe
- %TEMP%\36ab.exe
- %TEMP%\25c9.exe
- %TEMP%\bb3.exe
- %TEMP%\is-jkf6l.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-jkf6l.tmp\_isetup\_iscrypt.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\jviweew
- %ALLUSERSPROFILE%\drivers\csrss.exe
Удаляет следующие файлы
- %TEMP%\4kpv6a~1\unverified-microdesc-consensus
- %TEMP%\4kpv6a~1\cached-certs
- %TEMP%\4kpv6a~1\state
Перемещает следующие файлы
- %TEMP%\4kpv6a~1\state.tmp в %TEMP%\4kpv6a~1\state
- %TEMP%\4kpv6a~1\unverified-microdesc-consensus.tmp в %TEMP%\4kpv6a~1\unverified-microdesc-consensus
- %TEMP%\4kpv6a~1\cached-certs.tmp в %TEMP%\4kpv6a~1\cached-certs
- %TEMP%\4kpv6a~1\cached-microdesc-consensus.tmp в %TEMP%\4kpv6a~1\cached-microdesc-consensus
Подменяет следующие файлы
- %TEMP%\4kpv6a~1\cached-certs.tmp
- %TEMP%\4kpv6a~1\cached-certs
- %TEMP%\4kpv6a~1\state.tmp
- %TEMP%\4kpv6a~1\state
Самоудаляется.
Сетевая активность
Подключается к
- 'se####ation17io.io':80
- 'ft###yager.cc':80
- 'hu##.##pteamlife.com':80
- 'localhost':49188
- '19#.#5.13.50':9001
- '19#.#23.209.91':5092
- '5.##.66.0':80
- '81.##0.245.67':444
- '16#.#51.116.26':443
- 'localhost':16926
- '18#.#8.50.174':8895
TCP
Запросы HTTP GET
- http://ft###yager.cc/ftp/index.php
- http://hu##.##pteamlife.com/order/tuc5.exe
- http://5.##.66.0/288c47bbc187111b439df19ff4df68f076.exe
Запросы HTTP POST
- http://se####ation17io.io/index.php
Другие
- '19#.#5.13.50':9001
- '81.##0.245.67':444
- '16#.#51.116.26':443
- 'localhost':16926
- 'localhost':49196
- '18#.#8.50.174':8895
UDP
- DNS ASK se####ation17io.io
- DNS ASK ft###yager.cc
- DNS ASK hu##.##pteamlife.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'L9bda5_JSDKL173FlashFixClass_L9bda5'
Создает и запускает на исполнение
- '%TEMP%\bb3.exe'
- '%TEMP%\25c9.exe'
- '%TEMP%\36ab.exe'
- '%TEMP%\5f91.exe'
- '%TEMP%\is-6dkdu.tmp\5f91.tmp' /SL5="$2501DC,4776732,351744,%TEMP%\5F91.exe"
- '%TEMP%\981f.exe'
- '%TEMP%\e22a.exe'
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s %TEMP%\4F3B.dll
- '%WINDIR%\syswow64\net.exe' helpmsg 173
- '%WINDIR%\syswow64\net1.exe' helpmsg 173
