Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 14f7a2d6618adb99
- <SYSTEM32>\tasks\yiueea.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl]
- [HKLM\Software\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\cgvuves
- %APPDATA%\bewhrcu
- %TEMP%\3504.exe
- %TEMP%\577f58beff\yiueea.exe
- %TEMP%\ae80.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\b692.tmp
- %TEMP%\b692.tmp-shm
- %TEMP%\c67b.tmp
- %TEMP%\c6da.tmp
- %TEMP%\c7b5.tmp
- %TEMP%\c814.tmp
- %TEMP%\c814.tmp-shm
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\cgvuves
- %APPDATA%\bewhrcu
Удаляет следующие файлы
- %TEMP%\b692.tmp-shm
- %TEMP%\b692.tmp
- %TEMP%\c67b.tmp
- %TEMP%\c6da.tmp
- %TEMP%\c7b5.tmp
- %TEMP%\c814.tmp-shm
- %TEMP%\c814.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'on###ituyrs.org':80
- 'on###ituyrs.org':443
- 'su####lituyo.org':80
- 'sn####ukeutit.org':80
- 'li#####insteniki.org':80
- 'li####oumumy.org':80
- 'st#####luyastrelia.net':80
- '79.##7.192.18':80
- 'al###adcare.com':443
- 'mo####eyclub.org':443
- 'pk#.goog':80
- '17#.#2.28.212':80
TCP
Запросы HTTP GET
- http://li#####insteniki.org/1
- http://79.##7.192.18/minda.exe
- http://pk#.goog/gsr1/gsr1.crt
- http://17#.#2.28.212/12/difficultspecificprores.exe
Запросы HTTP POST
- http://on###ituyrs.org/
- http://su####lituyo.org/
- http://sn####ukeutit.org/
- http://li#####insteniki.org/
- http://li####oumumy.org/
- http://79.##7.192.18/9bDc8sQ/index.php
- http://st#####luyastrelia.net/
Другие
- 'on###ituyrs.org':443
- 'al###adcare.com':443
- 'mo####eyclub.org':443
UDP
- DNS ASK on###ituyrs.org
- DNS ASK su####lituyo.org
- DNS ASK sn####ukeutit.org
- DNS ASK li#####insteniki.org
- DNS ASK li####oumumy.org
- DNS ASK st#####luyastrelia.net
- DNS ASK al###adcare.com
- DNS ASK mo####eyclub.org
- DNS ASK pk#.goog
Другое
Создает и запускает на исполнение
- '%TEMP%\3504.exe'
- '%TEMP%\577f58beff\yiueea.exe'
- '%TEMP%\577f58beff\yiueea.exe' ' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 1 /TN yiueea.exe /TR "%TEMP%\577f58beff\yiueea.exe" /F' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k echo Y|CACLS "yiueea.exe" /P "user:N"&&CACLS "yiueea.exe" /P "user:R" /E&&echo Y|CACLS "..\577f58beff" /P "user:N"&&CACLS "..\577f58beff" /P "user:R" /E&&Exit' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 1 /TN yiueea.exe /TR "%TEMP%\577f58beff\yiueea.exe" /F
- '<SYSTEM32>\cmd.exe' /k echo Y|CACLS "yiueea.exe" /P "user:N"&&CACLS "yiueea.exe" /P "user:R" /E&&echo Y|CACLS "..\577f58beff" /P "user:N"&&CACLS "..\577f58beff" /P "user:R" /E&&Exit
- '<SYSTEM32>\cmd.exe' /S /D /c" echo Y"
- '<SYSTEM32>\cacls.exe' "yiueea.exe" /P "user:N"
- '<SYSTEM32>\cacls.exe' "yiueea.exe" /P "user:R" /E
- '<SYSTEM32>\cacls.exe' "..\577f58beff" /P "user:N"
- '<SYSTEM32>\cacls.exe' "..\577f58beff" /P "user:R" /E
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\taskeng.exe' {7445EB11-B3E3-4EC0-998D-CB3AAA8730A5} S-1-5-21-2594934582-3011428313-3661137593-1000:zxwsxmoqs\user:Interactive:[1]
