Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\tasks\explorha.job
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- %TEMP%\09fd851a4f\explorha.exe
- %APPDATA%\a091ec0a6e2227\cred64.dll
- %TEMP%\_files_\aoc_saq_d_v3_merchant.docx
- %TEMP%\_files_\file_p_00000000_1371597592.docx
- %TEMP%\_files_\sdszfo.docx
- %TEMP%\_files_\thlps_keeper_mayer_1965.docx
- %TEMP%\_files_\weeklysheet1215.doc
- %APPDATA%\a091ec0a6e2227\clip64.dll
Удаляет следующие файлы
- %TEMP%\_files_\aoc_saq_d_v3_merchant.docx
- %TEMP%\_files_\file_p_00000000_1371597592.docx
- %TEMP%\_files_\sdszfo.docx
- %TEMP%\_files_\thlps_keeper_mayer_1965.docx
- %TEMP%\_files_\weeklysheet1215.doc
Сетевая активность
Подключается к
- '19#.#33.132.56':80
TCP
Запросы HTTP GET
- http://19#.#33.132.56/Pneh2sXQk0/Plugins/cred64.dll
- http://19#.#33.132.56/Pneh2sXQk0/Plugins/clip64.dll
Запросы HTTP POST
- http://19#.#33.132.56/Pneh2sXQk0/index.php
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\09fd851a4f\explorha.exe'
- '%TEMP%\09fd851a4f\explorha.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\a091ec0a6e2227\cred64.dll, Main' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' wlan show profiles' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Compress-Archive -Path '%TEMP%\_Files_\' -DestinationPath '%TEMP%\150914307177_Desktop.zip' -CompressionLevel Optimal' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\a091ec0a6e2227\clip64.dll, Main' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\a091ec0a6e2227\cred64.dll, Main
- '<SYSTEM32>\rundll32.exe' %APPDATA%\a091ec0a6e2227\cred64.dll, Main
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Compress-Archive -Path '%TEMP%\_Files_\' -DestinationPath '%TEMP%\150914307177_Desktop.zip' -CompressionLevel Optimal
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\a091ec0a6e2227\clip64.dll, Main
