Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'qdatem' = 'C:\Users\Public\Documents\Applicationeuocs.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-3f26u.tmp\<Имя файла>.tmp
- C:\atti\is-mh2ae.tmp
- C:\atti\is-kv10a.tmp
- C:\atti\is-4vs71.tmp
- C:\atti\is-rcl6q.tmp
- C:\atti\is-ttet2.tmp
- C:\atti\is-f570f.tmp
- C:\atti\is-catmn.tmp
- C:\atti\is-ofe0a.tmp
- C:\atti\is-lg1jg.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\atti\atti.lnk
- C:\atti\aiiorr.exe
- C:\users\public\documents\awuuh.dll
- %TEMP%\aiiorr.txt
- C:\users\public\documents\sjsw.log
- %APPDATA%\temp\netbase.dat
- C:\users\public\documents\krnln.fnr
- C:\users\public\documents\dp1.fne
- C:\users\public\documents\spec.fne
- C:\users\public\documents\shell.fne
- C:\atti\is-rqru3.tmp
- C:\users\public\documents\internet.fne
- C:\atti\is-gdu49.tmp
- C:\atti\is-sntqs.tmp
- %TEMP%\is-4e07e.tmp\_isetup\_setup64.tmp
- C:\atti\is-2gi0j.tmp
- C:\atti\is-fj2kn.tmp
- C:\atti\is-kak8f.tmp
- C:\atti\is-uecnf.tmp
- C:\atti\is-trgvr.tmp
- C:\atti\is-m5vrr.tmp
- C:\atti\is-80i36.tmp
- C:\atti\is-h7sg5.tmp
- C:\atti\is-b94q8.tmp
- C:\atti\is-qfrr0.tmp
- C:\atti\is-79q60.tmp
- C:\atti\is-hki18.tmp
- C:\atti\is-13hul.tmp
- C:\atti\is-ba4ru.tmp
- C:\atti\is-g7c1l.tmp
- C:\atti\is-i22uf.tmp
- C:\atti\is-0qsfo.tmp
- C:\atti\is-307cc.tmp
- C:\atti\is-r6lvi.tmp
- C:\atti\aiiorr.txt
Удаляет следующие файлы
- C:\atti\aiiorr.exe
- %TEMP%\is-4e07e.tmp\_isetup\_setup64.tmp
- %TEMP%\is-3f26u.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\atti\is-2gi0j.tmp в C:\atti\aiiorr.exe
- C:\atti\is-ofe0a.tmp в C:\atti\wpstablestyle.dll
- C:\atti\is-catmn.tmp в C:\atti\wpphtmlrw.dll
- C:\atti\is-f570f.tmp в C:\atti\wordconvert.dll
- C:\atti\is-ttet2.tmp в C:\atti\vbe6ext.olb
- C:\atti\is-rcl6q.tmp в C:\atti\spec.fne
- C:\atti\is-4vs71.tmp в C:\atti\shell.fne
- C:\atti\is-kv10a.tmp в C:\atti\rtfreader.dll
- C:\atti\is-mh2ae.tmp в C:\atti\qt5concurrentkso.dll
- C:\atti\is-rqru3.tmp в C:\atti\qrencode.dll
- C:\atti\is-gdu49.tmp в C:\atti\qingshellext64.dll
- C:\atti\is-r6lvi.tmp в C:\atti\pinyintagger.dll
- C:\atti\is-sntqs.tmp в C:\atti\mythes.dll
- C:\atti\is-307cc.tmp в C:\atti\ksqlite3.dll
- C:\atti\is-lg1jg.tmp в C:\atti\xml-security.dll
- C:\atti\is-0qsfo.tmp в C:\atti\ksaddndr.dll
- C:\atti\is-g7c1l.tmp в C:\atti\klibrarysafe.dll
- C:\atti\is-ba4ru.tmp в C:\atti\kbase.dll
- C:\atti\is-13hul.tmp в C:\atti\jdecontrol.dll
- C:\atti\is-hki18.tmp в C:\atti\internet.fne
- C:\atti\is-79q60.tmp в C:\atti\griddrawer.dll
- C:\atti\is-qfrr0.tmp в C:\atti\friso.dll
- C:\atti\is-b94q8.tmp в C:\atti\excel2003htmlrw.dll
- C:\atti\is-h7sg5.tmp в C:\atti\etxmlrw.dll
- C:\atti\is-80i36.tmp в C:\atti\dp1.fne
- C:\atti\is-m5vrr.tmp в C:\atti\b1.dat
- C:\atti\is-trgvr.tmp в C:\atti\auth.dll
- C:\atti\is-kak8f.tmp в C:\atti\a0.dat
- C:\atti\is-fj2kn.tmp в C:\atti\a.bat
- C:\atti\is-i22uf.tmp в C:\atti\krnln.fnr
- C:\atti\aiiorr.exe в C:\users\public\documents\applicationeuocs.exe
Подменяет следующие файлы
- C:\atti\aiiorr.exe
Сетевая активность
Подключается к
- '45.##7.44.199':80
- '45.##7.44.200':80
- 'sh##5s.top':5567
TCP
Запросы HTTP GET
- http://45.##7.44.199/6665/zy.txt
- http://45.##7.44.200/6665/cdyxf.png
Другие
- 'sh##5s.top':5567
UDP
- DNS ASK sh##5s.top
Другое
Создает и запускает на исполнение
- '%TEMP%\is-3f26u.tmp\<Имя файла>.tmp' /SL5="$A024C,2788905,58368,<Полный путь к файлу>"
- 'C:\atti\aiiorr.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\atti\a.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\atti\a.bat" "
- '%WINDIR%\syswow64\notepad.exe' %TEMP%\aiiorr.txt
