Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\nsumjhpnda.jxj
- %TEMP%\rarsfx0\hkrrtuafcb.txt
- %TEMP%\rarsfx0\snio.msc
- %TEMP%\rarsfx0\vlhdfkx.ini
- %TEMP%\rarsfx0\ncpajpvf.docx
- %TEMP%\rarsfx0\smqejmbjgt.icm
- %TEMP%\rarsfx0\osvnvsf.xml
- %TEMP%\rarsfx0\qwssrqit.bin
- %TEMP%\rarsfx0\blorrualj.msc
- %TEMP%\rarsfx0\fkbo.jpg
- %TEMP%\rarsfx0\kfulckl.docx
- %TEMP%\rarsfx0\gajf.exe
- %TEMP%\rarsfx0\nacsi.jpg
- %TEMP%\rarsfx0\ujwhptlx.dll
- %TEMP%\rarsfx0\aqlipmec.ppt
- %TEMP%\rarsfx0\bxibgogf.pdf
- %TEMP%\rarsfx0\bwpmajlp.xl
- %TEMP%\rarsfx0\bbalktswt.xl
- %TEMP%\rarsfx0\lkwxp.pdf
- %TEMP%\rarsfx0\tosaibkoa.bin
- %TEMP%\rarsfx0\cdlq.ini
- %TEMP%\rarsfx0\idbvg.pdf
- %TEMP%\rarsfx0\enkx.ini
- %TEMP%\rarsfx0\gdxrtwiq.xml
- %TEMP%\rarsfx0\tmjcsu.docx
- %TEMP%\rarsfx0\joacksxhjo.jpg
- %TEMP%\rarsfx0\nideaucvc.dat
- %HOMEPATH%\temp\wlxlxfauur.txt
- %TEMP%\rarsfx0\fdii.icm
- %TEMP%\rarsfx0\dwxg.pdf
- %TEMP%\rarsfx0\wlxlxfauur.txt
- %TEMP%\rarsfx0\ltbjbrtsvk.dll
- %TEMP%\rarsfx0\kep-d.vbe
- %TEMP%\rarsfx0\jkxgptsve.dat
- %TEMP%\rarsfx0\oofmfbt.xls
- %TEMP%\rarsfx0\bwhl.bin
- %TEMP%\rarsfx0\jbfn.ppt
- %TEMP%\rarsfx0\jkuemi.icm
- %TEMP%\rarsfx0\beqdwtg.dat
- %TEMP%\rarsfx0\mkhwf.exe
- %TEMP%\rarsfx0\ilsgsnhq.icm
- %TEMP%\rarsfx0\vaogrnkbe.dat
- %TEMP%\rarsfx0\nahmruohd.msc
- %TEMP%\rarsfx0\mkgvl.icm
- %TEMP%\rarsfx0\vcqsjrstcr.docx
- %TEMP%\rarsfx0\gnskpurm.msc
- %TEMP%\rarsfx0\pkqmahqb.txt
- %TEMP%\rarsfx0\xmiiri.pdf
- %TEMP%\rarsfx0\gupcnras.xls
- %TEMP%\rarsfx0\jpariibtdl.docx
- %TEMP%\rarsfx0\otvqaxjjlf.icm
- %TEMP%\rarsfx0\vcwrkvn.exe
- %TEMP%\rarsfx0\artcpr.dll
- %TEMP%\rarsfx0\omwubng.bmp
- %TEMP%\rarsfx0\inkb.ppt
- %TEMP%\rarsfx0\skplmcbkc.dat
- %TEMP%\note\wordlogs.dat
Сетевая активность
UDP
- DNS ASK vp#.##mcacount.co
- 'localhost':63879
- 'localhost':63006
- 'localhost':51362
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\jkxgptsve.dat' ltbjbrtsvk.dll
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /release' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c jkxgptsve.dat ltbjbrtsvk.dll' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /renew' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' kep-d.vbe
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /release
- '%WINDIR%\syswow64\cmd.exe' /c jkxgptsve.dat ltbjbrtsvk.dll
- '%WINDIR%\syswow64\ipconfig.exe' /release
- '%WINDIR%\syswow64\cmd.exe' /c ipconfig /renew
- '%WINDIR%\syswow64\ipconfig.exe' /renew
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
