Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent ecfac2ca1042ab34
Модифицирует главную загрузочную запись (MBR).
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\hdacwvd
- %LOCALAPPDATA%\mdevelop\unins000.dat
- %TEMP%\is-ml6ig.tmp\april.tmp
- %TEMP%\u33o.0.exe
- %LOCALAPPDATA%\mdevelop\mdevelop.exe
- %TEMP%\is-g7i9b.tmp\_isetup\_regdll.tmp
- %TEMP%\is-g7i9b.tmp\_isetup\_setup64.tmp
- %TEMP%\is-g7i9b.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-g7i9b.tmp\_isetup\_iscrypt.dll
- %LOCALAPPDATA%\djedit\is-q94cn.tmp
- %LOCALAPPDATA%\djedit\is-os6tq.tmp
- %LOCALAPPDATA%\djedit\is-rs3kg.tmp
- %LOCALAPPDATA%\djedit\is-27bc6.tmp
- %LOCALAPPDATA%\djedit\is-p8j1q.tmp
- %LOCALAPPDATA%\djedit\is-l36a9.tmp
- %LOCALAPPDATA%\djedit\is-oif1t.tmp
- %LOCALAPPDATA%\djedit\is-d7cq8.tmp
- %LOCALAPPDATA%\djedit\unins000.dat
- %TEMP%\april.exe
- %LOCALAPPDATA%\djedit\djedit.exe
- %LOCALAPPDATA%\mdevelop\is-2t2ie.tmp
- %LOCALAPPDATA%\mdevelop\is-q9b1l.tmp
- %TEMP%\c5dd.dll
- %TEMP%\c9f4.exe
- %TEMP%\eb2b.exe
- %TEMP%\1fd2.exe
- %TEMP%\2afa.exe
- %TEMP%\is-5ept8.tmp\2afa.tmp
- %TEMP%\is-ldq1e.tmp\_isetup\_regdll.tmp
- %TEMP%\is-ldq1e.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ldq1e.tmp\_isetup\_shfoldr.dll
- %TEMP%\isetup4.exe
- %TEMP%\is-ldq1e.tmp\_isetup\_iscrypt.dll
- %LOCALAPPDATA%\mdevelop\is-qfr6d.tmp
- %LOCALAPPDATA%\mdevelop\is-uch4g.tmp
- %LOCALAPPDATA%\mdevelop\is-g5nl5.tmp
- %LOCALAPPDATA%\mdevelop\is-nmsbl.tmp
- %LOCALAPPDATA%\mdevelop\is-1ngce.tmp
- %TEMP%\288c47bbc1871b439df19ff4df68f076.exe
- %LOCALAPPDATA%\mdevelop\is-h591t.tmp
- %TEMP%\u33o.1.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\hdacwvd
Удаляет следующие файлы
- %LOCALAPPDATA%\mdevelop\libgcc_s_dw2-1.dll
- %LOCALAPPDATA%\djedit\libgcc_s_dw2-1.dll
Перемещает следующие файлы
- %LOCALAPPDATA%\mdevelop\is-qfr6d.tmp в %LOCALAPPDATA%\mdevelop\unins000.exe
- %LOCALAPPDATA%\mdevelop\is-uch4g.tmp в %LOCALAPPDATA%\mdevelop\libgcc_s_dw2-1.dll
- %LOCALAPPDATA%\mdevelop\is-nmsbl.tmp в %LOCALAPPDATA%\mdevelop\libogg-0.dll
- %LOCALAPPDATA%\mdevelop\is-1ngce.tmp в %LOCALAPPDATA%\mdevelop\libvorbis-0.dll
- %LOCALAPPDATA%\mdevelop\is-q9b1l.tmp в %LOCALAPPDATA%\mdevelop\libwinpthread-1.dll
- %LOCALAPPDATA%\mdevelop\is-h591t.tmp в %LOCALAPPDATA%\mdevelop\libbz2-1.dll
- %LOCALAPPDATA%\mdevelop\is-2t2ie.tmp в %LOCALAPPDATA%\mdevelop\mdevelop.exe
- %LOCALAPPDATA%\djedit\is-q94cn.tmp в %LOCALAPPDATA%\djedit\unins000.exe
- %LOCALAPPDATA%\djedit\is-os6tq.tmp в %LOCALAPPDATA%\djedit\libgcc_s_dw2-1.dll
- %LOCALAPPDATA%\djedit\is-27bc6.tmp в %LOCALAPPDATA%\djedit\libogg-0.dll
- %LOCALAPPDATA%\djedit\is-p8j1q.tmp в %LOCALAPPDATA%\djedit\libvorbis-0.dll
- %LOCALAPPDATA%\djedit\is-l36a9.tmp в %LOCALAPPDATA%\djedit\libwinpthread-1.dll
- %LOCALAPPDATA%\djedit\is-oif1t.tmp в %LOCALAPPDATA%\djedit\libbz2-1.dll
- %LOCALAPPDATA%\djedit\is-d7cq8.tmp в %LOCALAPPDATA%\djedit\djedit.exe
Подменяет следующие файлы
- %LOCALAPPDATA%\mdevelop\libgcc_s_dw2-1.dll
- %LOCALAPPDATA%\djedit\libgcc_s_dw2-1.dll
Самоудаляется.
Сетевая активность
Подключается к
- 'se####ation17io.io':80
- 'ip##pn.com':80
- '18#.#72.128.19':80
- 'wo#.##shoaks.net':80
- '18#.#72.128.90':80
- '18#.#72.128.187':80
- '18#.#72.128.126':80
- '18#.#72.128.145':80
TCP
Запросы HTTP GET
- http://ip##pn.com/ipo/index.php
- http://18#.#72.128.19/288c47bbc1871b439df19ff4df68f00076.exe
- http://wo#.##shoaks.net/data/pdf/may.exe
- http://18#.#72.128.90/cpa/ping.php?su####################
- http://18#.#72.128.187/syncUpd.exe
- http://18#.#72.128.187/ping.php?su#########
- http://18#.#72.128.126/BroomSetup.exe
Запросы HTTP POST
- http://se####ation17io.io/index.php
UDP
- DNS ASK se####ation17io.io
- DNS ASK ip##pn.com
- DNS ASK wo#.##shoaks.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'j430bd_Flash3191FixClass_j430bd'
- ClassName: '' WindowName: 'D2fc9d_Flash3183FixClass_D2fc9d'
Создает и запускает на исполнение
- '%TEMP%\c9f4.exe'
- '%TEMP%\eb2b.exe'
- '%TEMP%\1fd2.exe'
- '%TEMP%\2afa.exe'
- '%TEMP%\is-5ept8.tmp\2afa.tmp' /SL5="$2024C,1869669,54272,%TEMP%\2AFA.exe"
- '%TEMP%\isetup4.exe'
- '%TEMP%\288c47bbc1871b439df19ff4df68f076.exe'
- '%TEMP%\april.exe'
- '%LOCALAPPDATA%\mdevelop\mdevelop.exe' -i
- '%TEMP%\is-ml6ig.tmp\april.tmp' /SL5="$30286,1698064,54272,%TEMP%\april.exe"
- '%TEMP%\u33o.0.exe'
- '%LOCALAPPDATA%\djedit\djedit.exe' -i
- '%TEMP%\u33o.1.exe'
- '%LOCALAPPDATA%\mdevelop\mdevelop.exe' -s
- '%LOCALAPPDATA%\djedit\djedit.exe' -s
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s %TEMP%\C5DD.dll
