Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- <SYSTEM32>\tasks\iexplore__-pu
- %APPDATA%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- <SYSTEM32>\tasks\firefox__-pu
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\iexplore__-pu] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\iexplore__-pu] 'ImagePath' = 'C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe'
- [HKLM\System\CurrentControlSet\Services\firefox__-pu] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\firefox__-pu] 'ImagePath' = 'C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe'
Создает следующие сервисы
- 'iexplore__-pu' C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- 'firefox__-pu' C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM iexplore__.exe /F
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=out action=allow program="C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=in action=allow program="C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes
- '<SYSTEM32>\taskkill.exe' /IM firefox__.exe /F
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=out action=allow program="C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=in action=allow program="C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes
Изменения в файловой системе
Создает следующие файлы
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxff0a.tmp
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx34.tmp
- %ALLUSERSPROFILE%\prox_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\proxy\payload\commander64.dll
- %ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dlllister64.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx10f.tmp
- %ALLUSERSPROFILE%\prox_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\proxy\cfg
- %ALLUSERSPROFILE%\74marbjwzdugrg2ojsnom8ffttkhspptbijyk5gjzw8\qu4siczbxyhmyxl6wyzkmtvw.dll
- %ALLUSERSPROFILE%\74marbjwzdugrg2ojsnom8ffttkhspptbijyk5gjzw8\cluzc6b0fa0i3xdmazyhxgxk.dll
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- %ALLUSERSPROFILE%\wkrrmk1estjnvfv0t1drmu1dmdbprgd3\db\db.db-journal
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx3f29.tmp
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx3ff4.tmp
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx40d0.tmp
- %ALLUSERSPROFILE%\wkrrmk1estjnvfv0t1drmu1dmdbprgd3\db\db.db
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx7bbe.tmp
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx7ca9.tmp
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx7d85.tmp
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxa1c8.tmp
- %ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dlllister.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxa2f1.tmp
- %ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dll.x.tmp
- %ALLUSERSPROFILE%\prox_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\proxy\payload\proxy.zip
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxa6d9.tmp
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxa786.tmp
- %WINDIR%\temp\cabac45.tmp
- %WINDIR%\temp\tarac56.tmp
- %WINDIR%\temp\cabacb5.tmp
- %WINDIR%\temp\taracb6.tmp
- %WINDIR%\temp\cabb05f.tmp
- %WINDIR%\temp\tarb060.tmp
- %WINDIR%\temp\cabb08f.tmp
- %WINDIR%\temp\tarb090.tmp
- %WINDIR%\temp\cabb6d8.tmp
- %WINDIR%\temp\tarb6d9.tmp
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\payload\executor.zip
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\payload\publisher32.dll
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\payload\publisher64.dll
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\cfg
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxd27d.tmp
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxd31a.tmp
- %ALLUSERSPROFILE%\prox_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\proxy\payload\commander32.dll
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxa40b.tmp
Удаляет следующие файлы
- %WINDIR%\temp\cabac45.tmp
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\payload\executor.zip
- %APPDATA%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- <SYSTEM32>\tasks\firefox__-pu
- %ALLUSERSPROFILE%\wkrrmk1estjnvfv0t1drmu1dmdbprgd3\db\db.db-journal
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- <SYSTEM32>\tasks\iexplore__-pu
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- %WINDIR%\temp\tarb6d9.tmp
- %WINDIR%\temp\cabb6d8.tmp
- %WINDIR%\temp\tarb090.tmp
- %WINDIR%\temp\cabb08f.tmp
- %WINDIR%\temp\tarb060.tmp
- %WINDIR%\temp\cabb05f.tmp
- %WINDIR%\temp\taracb6.tmp
- %WINDIR%\temp\cabacb5.tmp
- %WINDIR%\temp\tarac56.tmp
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\payload\publisher32.dll
- %ALLUSERSPROFILE%\exec_-8jgsfgxvs5qrtku00gf_krlx3nrl_yu2klp2diiep4\payload\publisher64.dll
Перемещает следующие файлы
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxa6d9.tmp в C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxa786.tmp в C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxd31a.tmp в C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- %ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dll.x.tmp в %ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dll.x
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxff0a.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx34.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx10f.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx3ff4.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx40d0.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx7ca9.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx7d85.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxa2f1.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxa40b.tmp в C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
Подменяет следующие файлы
- C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- %ALLUSERSPROFILE%\wkrrmk1estjnvfv0t1drmu1dmdbprgd3\db\db.db-journal
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\firefox___.lnk
Сетевая активность
Подключается к
- 'ap#.#ithub.com':443
- 'ob#####.#ithubusercontent.com':443
- 'clients3.google.com':80
- 'g.###.mega.co.nz':443
- 'ap#.#pify.org':443
- 'oa####.googleapis.com':443
- 'w.###.mega.co.nz':80
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://clients3.google.com/generate_204
- http://w.###.mega.co.nz/gtyw-KspNR8RdO74E3FIUj7G6CQ
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'ap#.#ithub.com':443
- 'gi##ub.com':443
- 'ob#####.#ithubusercontent.com':443
- 'g.###.mega.co.nz':443
- 'ap#.#pify.org':443
- 'oa####.googleapis.com':443
UDP
- DNS ASK ap#.#ithub.com
- DNS ASK gi##ub.com
- DNS ASK ob#####.#ithubusercontent.com
- DNS ASK clients3.google.com
- DNS ASK g.###.mega.co.nz
- DNS ASK ap#.#pify.org
- DNS ASK w.###.mega.co.nz
- DNS ASK oa####.googleapis.com
- DNS ASK pk#.goog
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dlllister.exe' 1676
- '%ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dlllister.exe' 1564
- '<SYSTEM32>\net.exe' start' (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' OS get /format:csv' (со скрытым окном)
- '<SYSTEM32>\sc.exe' query "firefox__-pu"' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "%ALLUSERSPROFILE%\74maRBJWzDugRG2OJSnOM8FfttKhsPptBijyk5gjzW8\qU4sICZBxyHmYxL6WYZKmtvW.dll" ,Start' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "%ALLUSERSPROFILE%\74maRBJWzDugRG2OJSnOM8FfttKhsPptBijyk5gjzW8\cLUzc6b0Fa0i3XDMAZYHxgxk.dll" ,Start' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox__-pu" /tr "C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" /sc onlogon /f' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=in action=allow program="C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=out action=allow program="C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes' (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "firefox__-pu" binPath= "C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" start= auto type= own' (со скрытым окном)
- '%ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dlllister.exe' 1564' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "firefox__-pu" /f' (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete firefox__-pu' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM firefox__.exe /F' (со скрытым окном)
- '%ALLUSERSPROFILE%\dv_0ykgywgqrrxjf\dlllister.exe' 1676' (со скрытым окном)
- '<SYSTEM32>\sc.exe' query "iexplore__-pu"' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore__-pu" /tr "C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" /sc onlogon /f' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=in action=allow program="C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=out action=allow program="C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes' (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "iexplore__-pu" binPath= "C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" start= auto type= own' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "iexplore__-pu" /f' (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete iexplore__-pu' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM iexplore__.exe /F' (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' diskdrive get /format:csv' (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' CPU get /format:csv' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\net.exe' start
- '<SYSTEM32>\wbem\wmic.exe' OS get /format:csv
- '<SYSTEM32>\sc.exe' query "firefox__-pu"
- '<SYSTEM32>\rundll32.exe' "%ALLUSERSPROFILE%\74maRBJWzDugRG2OJSnOM8FfttKhsPptBijyk5gjzW8\qU4sICZBxyHmYxL6WYZKmtvW.dll" ,Start
- '<SYSTEM32>\rundll32.exe' "%ALLUSERSPROFILE%\74maRBJWzDugRG2OJSnOM8FfttKhsPptBijyk5gjzW8\cLUzc6b0Fa0i3XDMAZYHxgxk.dll" ,Start
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox__-pu" /tr "C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" /sc onlogon /f
- '<SYSTEM32>\sc.exe' create "firefox__-pu" binPath= "C:\58a5f3a6\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" start= auto type= own
- '<SYSTEM32>\wbem\wmic.exe' diskdrive get /format:csv
- '<SYSTEM32>\schtasks.exe' /delete /tn "firefox__-pu" /f
- '<SYSTEM32>\sc.exe' query "iexplore__-pu"
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore__-pu" /tr "C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" /sc onlogon /f
- '<SYSTEM32>\sc.exe' create "iexplore__-pu" binPath= "C:\58a5f3a6\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" start= auto type= own
- '<SYSTEM32>\schtasks.exe' /delete /tn "iexplore__-pu" /f
- '<SYSTEM32>\sc.exe' delete iexplore__-pu
- '<SYSTEM32>\net1.exe' start
- '<SYSTEM32>\sc.exe' delete firefox__-pu
- '<SYSTEM32>\wbem\wmic.exe' CPU get /format:csv
