Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'CSRSS' = '"%ALLUSERSPROFILE%\Drivers\csrss.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent a8f7c2665b0df484
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- 3b4b.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\rbuvwvt
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-j1tif.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-ub3u7.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-61898.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-hgshn.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-7t2i7.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-3ec40.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-m1t96.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-h920a.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-gdc68.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-803v4.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-tir3o.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-k9o44.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-2bvk9.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-vrtca.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-qij8m.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-djebs.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-72262.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-4hasa.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-rnqbp.tmp
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-sphti.tmp
- %TEMP%\496e.tmp-shm
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-cmfo7.tmp
- %ProgramFiles(x86)%\datapumpcrt\is-51a57.tmp
- %APPDATA%\riwhtcg
- %TEMP%\3b4b.exe
- %TEMP%\406a.exe
- %TEMP%\4b25.dll
- %TEMP%\53cd.exe
- %TEMP%\68e4.exe
- %ALLUSERSPROFILE%\drivers\csrss.exe
- %TEMP%\4kpv6a~1\state.tmp
- %TEMP%\ba00.exe
- %TEMP%\4kpv6a~1\unverified-microdesc-consensus.tmp
- %TEMP%\4kpv6a~1\cached-certs.tmp
- %TEMP%\4kpv6a~1\cached-microdesc-consensus.tmp
- %TEMP%\is-oto4d.tmp\ba00.tmp
- %TEMP%\4kpv6a~1\cached-microdescs.new
- %TEMP%\is-ntft3.tmp\_isetup\_regdll.tmp
- %TEMP%\is-ntft3.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ntft3.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-ntft3.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-ntft3.tmp\_isetup\_iscrypt.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-7nk50.tmp
- %TEMP%\910d.tmp-shm
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\rbuvwvt
- %APPDATA%\riwhtcg
- %ALLUSERSPROFILE%\drivers\csrss.exe
Удаляет следующие файлы
- %TEMP%\4b25.dll
- %TEMP%\4kpv6a~1\unverified-microdesc-consensus
- %TEMP%\4kpv6a~1\cached-certs
- %TEMP%\4kpv6a~1\state
- %TEMP%\496e.tmp-shm
- %TEMP%\910d.tmp-shm
Перемещает следующие файлы
- %TEMP%\4kpv6a~1\state.tmp в %TEMP%\4kpv6a~1\state
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-72262.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\opusenc.exe
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-djebs.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\libmp4v2.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-qij8m.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\libflac_dynamic.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-vrtca.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\gain_analysis.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-2bvk9.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\ff_helper.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-k9o44.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\copying.lgplv2.1
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-tir3o.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bass_tta.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-803v4.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassmidi.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-gdc68.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bass_fx.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-h920a.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\basswv.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-m1t96.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\basswma.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-4hasa.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bass_ofr.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-3ec40.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassopus.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-hgshn.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassflac.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-61898.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\basscd.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-ub3u7.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassdsd.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-j1tif.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassape.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-sphti.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassalac.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-cmfo7.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bass_aac.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-7nk50.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bass.dll
- %ProgramFiles(x86)%\datapumpcrt\is-51a57.tmp в %ProgramFiles(x86)%\datapumpcrt\unins000.exe
- %TEMP%\4kpv6a~1\cached-microdesc-consensus.tmp в %TEMP%\4kpv6a~1\cached-microdesc-consensus
- %TEMP%\4kpv6a~1\cached-certs.tmp в %TEMP%\4kpv6a~1\cached-certs
- %TEMP%\4kpv6a~1\unverified-microdesc-consensus.tmp в %TEMP%\4kpv6a~1\unverified-microdesc-consensus
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-7t2i7.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\bassmix.dll
- %ProgramFiles(x86)%\datapumpcrt\bin\x86\is-rnqbp.tmp в %ProgramFiles(x86)%\datapumpcrt\bin\x86\optimfrog.dll
Подменяет следующие файлы
- %TEMP%\4kpv6a~1\cached-certs.tmp
- %TEMP%\4kpv6a~1\cached-certs
- %TEMP%\4kpv6a~1\state
Самоудаляется.
Сетевая активность
Подключается к
- 'su####lituyo.org':80
- 'sn####ukeutit.org':80
- 'li#####insteniki.org':80
- 'li####oumumy.org':80
- 'st#####luyastrelia.net':80
- '5.##.65.125':80
- 'localhost':49191
- 'ft###yager.cc':80
- 'cr###.hitsturbo.com':80
- '14#.#4.27.137':9001
- '87.##8.96.154':9001
- '18#.#2.217.49':9001
- '14#.#13.173.36':443
- '49.##.32.170':443
- '46.##6.96.149':80
- 'localhost':46277
TCP
Запросы HTTP GET
- http://5.##.65.125/288c47bbc1871b42239df19ff4df68f076.exe
- http://ft###yager.cc/ftp/index.php
- http://cr###.hitsturbo.com/order/tuc5.exe
Запросы HTTP POST
- http://su####lituyo.org/
- http://sn####ukeutit.org/
- http://li#####insteniki.org/
- http://li####oumumy.org/
- http://st#####luyastrelia.net/
- http://46.##6.96.149/connect
Другие
- '18#.#2.217.49':9001
- '49.##.32.170':443
- '14#.#13.173.36':443
- 'localhost':46277
- 'localhost':49203
UDP
- DNS ASK on###ituyrs.org
- DNS ASK su####lituyo.org
- DNS ASK sn####ukeutit.org
- DNS ASK li#####insteniki.org
- DNS ASK li####oumumy.org
- DNS ASK st#####luyastrelia.net
- DNS ASK ft###yager.cc
- DNS ASK cr###.hitsturbo.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'T9a2ad_DPCRT12233FlashFixClass_T9a2ad'
Создает и запускает на исполнение
- '%TEMP%\3b4b.exe'
- '%TEMP%\406a.exe'
- '%TEMP%\53cd.exe'
- '%TEMP%\68e4.exe'
- '%TEMP%\ba00.exe'
- '%TEMP%\is-oto4d.tmp\ba00.tmp' /SL5="$90238,7857519,54272,%TEMP%\BA00.exe"
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s %TEMP%\4B25.dll
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
