Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Xlhkbiodjfd' = '<SYSTEM32>\1103\irftp.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\vxyszidqobgqmbpx
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Core Networking - Multicast Listener Done (ICMPv4-In)" program="%WINDIR%\Explorer.EXE" dir=in action=allow protocol=TCP localport=any
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskhost.exe
следующие пользовательские процессы:
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\irftp.exe
- <SYSTEM32>\fixmapi.exe
- <SYSTEM32>\pcaui.exe
- <SYSTEM32>\eventvwr.exe
- <SYSTEM32>\wbengine.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e7213.tmp
- %TEMP%\e8ugza9.cmd
- <SYSTEM32>\1103\irftp.exe
- %TEMP%\v27b96.tmp
- %TEMP%\inso.cmd
- <SYSTEM32>\0423\wbengine.exe
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\index.dat
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\zi631q80\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\1sc79v37\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\yp7e9230\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\uqipck3j\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\cookies\index.dat
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\history\history.ie5\index.dat
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\history\history.ie5\desktop.ini
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\zi631q80\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\1sc79v37\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\yp7e9230\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\<INETFILES>\content.ie5\uqipck3j\desktop.ini
- %LOCALAPPDATA%low\mozilla\temp-{10ec5a16-76a1-4966-833c-89c100352a7c}\history\history.ie5\desktop.ini
Удаляет следующие файлы
- %TEMP%\e8ugza9.cmd
- %TEMP%\inso.cmd
Перемещает следующие файлы
- %TEMP%\e7213.tmp в <SYSTEM32>\1103\wtsapi32.dll
- %TEMP%\v27b96.tmp в <SYSTEM32>\0423\xmllite.dll
Изменяет следующие файлы
- %APPDATA%\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
Подменяет следующие файлы
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="Core Networking - Multicast Listener Done (ICMPv4-In)" program="%WINDIR%\Explorer.EXE" dir=in action=allow protocol=TCP localport=any' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\e8ugZa9.cmd' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Delete /F /TN "User_Feed_Synchronization-{0df42089-8a11-5621-20d8-40f58aaf4ee7}"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\InSo.cmd' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Create /F /TN "Vxyszidqobgqmbpx" /SC minute /MO 10 /TR "<SYSTEM32>\0423\wbengine.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="Core Networking - Multicast Listener Done (ICMPv4-In)" program="%WINDIR%\Explorer.EXE" dir=in action=allow protocol=TCP localport=any
- '<SYSTEM32>\cmd.exe' /c %TEMP%\e8ugZa9.cmd
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Delete /F /TN "User_Feed_Synchronization-{0df42089-8a11-5621-20d8-40f58aaf4ee7}"
- '<SYSTEM32>\schtasks.exe' /Delete /F /TN "User_Feed_Synchronization-{0df42089-8a11-5621-20d8-40f58aaf4ee7}"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\InSo.cmd
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Create /F /TN "Vxyszidqobgqmbpx" /SC minute /MO 10 /TR "<SYSTEM32>\0423\wbengine.exe"
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "Vxyszidqobgqmbpx" /SC minute /MO 10 /TR "<SYSTEM32>\0423\wbengine.exe"
