Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\run] 'SleepController' = '%WINDIR%\SleepController.exe'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\geSe] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\geSe] 'ImagePath' = '%WINDIR%\dataruntime.exe'
Создает следующие сервисы
- 'geSe' %WINDIR%\dataruntime.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop geSe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\gameworld.exe
- %TEMP%\[freetp.org]super-bunny-man-multiplayer-fix-online-v1.exe
- %TEMP%\nsb34e6.tmp\nsprocess.dll
- %TEMP%\nsb34e6.tmp\nsexec.dll
- %TEMP%\is-h100h.tmp\[freetp.org]super-bunny-man-multiplayer-fix-online-v1.tmp
- %TEMP%\is-km55p.tmp\_isetup\_setup64.tmp
- %TEMP%\is-km55p.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-km55p.tmp\get_hw_caps.dll
- %WINDIR%\parameters.ini
- %WINDIR%\proceslist.txt
- %WINDIR%\sleepcontroller.exe
- %WINDIR%\dataruntime.exe
- %WINDIR%\7zip.exe
Удаляет следующие файлы
- %TEMP%\nsb34e6.tmp\nsexec.dll
- %TEMP%\nsb34e6.tmp\nsprocess.dll
Перемещает следующие файлы
- %WINDIR%\proceslist.txt в %WINDIR%\relent-list.txt
Сетевая активность
Подключается к
- 'a0####24.xsph.ru':80
- 'localhost':19076
- '89.##.113.151':17890
TCP
Запросы HTTP GET
- http://a0####24.xsph.ru/gameworld.exe
Другие
- 'localhost':19076
- '89.##.113.151':17890
UDP
- DNS ASK a0####24.xsph.ru
Другое
Создает и запускает на исполнение
- '%TEMP%\gameworld.exe'
- '%TEMP%\[freetp.org]super-bunny-man-multiplayer-fix-online-v1.exe'
- '%TEMP%\is-h100h.tmp\[freetp.org]super-bunny-man-multiplayer-fix-online-v1.tmp' /SL5="$8023E,1120121,152064,%TEMP%\[FreeTP.Org]Super-Bunny-Man-Multiplayer-Fix-Online-v1.exe"
- '%WINDIR%\dataruntime.exe'
- '%WINDIR%\sleepcontroller.exe' -autoload
- '%WINDIR%\syswow64\cmd.exe' /C net stop geSe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C Sc delete geSe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C Sc create geSe binpath= %WINDIR%\dataruntime.exe start= auto DisplayName= geSe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C sc description geSe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C sc failure geSe reset= 3600 actions= restart/60000/restart/60000/restart/60000' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C net start geSe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C net stop geSe
- '%WINDIR%\syswow64\net1.exe' stop geSe
- '%WINDIR%\syswow64\cmd.exe' /C Sc delete geSe
- '%WINDIR%\syswow64\sc.exe' delete geSe
- '%WINDIR%\syswow64\cmd.exe' /C Sc create geSe binpath= %WINDIR%\dataruntime.exe start= auto DisplayName= geSe
- '%WINDIR%\syswow64\sc.exe' create geSe binpath= %WINDIR%\dataruntime.exe start= auto DisplayName= geSe
- '%WINDIR%\syswow64\cmd.exe' /C sc description geSe
- '%WINDIR%\syswow64\sc.exe' description geSe
- '%WINDIR%\syswow64\cmd.exe' /C sc failure geSe reset= 3600 actions= restart/60000/restart/60000/restart/60000
- '%WINDIR%\syswow64\sc.exe' failure geSe reset= 3600 actions= restart/60000/restart/60000/restart/60000
- '%WINDIR%\syswow64\cmd.exe' /C net start geSe
- '%WINDIR%\syswow64\net.exe' start geSe
- '%WINDIR%\syswow64\net1.exe' start geSe
