Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 45e3783ded4d94af
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\PHelperService] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\PHelperService] 'ImagePath' = '%ALLUSERSPROFILE%\PHelperService\PHelperService.exe'
Создает следующие сервисы
- 'PHelperService' %ALLUSERSPROFILE%\PHelperService\PHelperService.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Martin Prikryl]
- [HKLM\Software\Wow6432Node\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\thunderbird\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\uhitwgw
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-61hkr.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-1816u.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\lessmsi\is-59kdq.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-8dd31.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-037pa.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-ulh57.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-nfai2.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-9rg62.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-klttu.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-22tsu.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-r7a33.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-h6v23.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-ui3ru.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-cvvgi.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-56674.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-858o9.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-h6kmi.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-3amg2.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-mbojb.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-d6q8e.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-00ubm.tmp
- %ALLUSERSPROFILE%\phelperservice\phelperservice.exe
- %TEMP%\1401.tmp
- %TEMP%\1316.tmp
- %TEMP%\12c7.tmp
- %TEMP%\3e6.tmp-shm
- %TEMP%\3e6.tmp
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\plugins\internal\is-tpfd7.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-bmak2.tmp
- %ProgramFiles(x86)%\libsaxcrt\libsaxcrt.exe
- %ProgramFiles(x86)%\libsaxcrt\install\unins000.dat
- %ProgramFiles(x86)%\libsaxcrt\is-4nqf3.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-v6hcb.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-o8n0r.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-n9k6j.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-b0q6p.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\plugins\internal\is-ppkn9.tmp
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-uaoh3.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-44gp6.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-jsrl8.tmp
- %ProgramFiles(x86)%\libsaxcrt\stuff\is-hvcn8.tmp
- %ProgramFiles(x86)%\libsaxcrt\stuff\is-6giko.tmp
- %ProgramFiles(x86)%\libsaxcrt\stuff\is-4f7e4.tmp
- %ProgramFiles(x86)%\libsaxcrt\install\is-sqf6e.tmp
- %TEMP%\is-e6sli.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-e6sli.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-e6sli.tmp\_isetup\_shfoldr.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-bbb6v.tmp
- %TEMP%\is-e6sli.tmp\_isetup\_setup64.tmp
- %TEMP%\is-4s1iv.tmp\61b4.tmp
- %TEMP%\61b4.exe
- %TEMP%\3fd1.exe
- %TEMP%\3a73.exe
- %TEMP%\3342.exe
- %TEMP%\2b07.dll
- %TEMP%\1ce2.exe
- %APPDATA%\efvdhid
- %TEMP%\is-e6sli.tmp\_isetup\_regdll.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-v2jk0.tmp
- %ProgramFiles(x86)%\libsaxcrt\stuff\is-8r1a0.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-sno2e.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-4vqsa.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-uqm6h.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-1m6jp.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-enu74.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-qobvr.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-ibhgk.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-l07ar.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-co594.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-baaue.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-dajc5.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-9ct2f.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-jqqcr.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-hq8ba.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-drrk4.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-263r4.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-937ac.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-nsm4m.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-9sp1q.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-feo0s.tmp
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-7jac4.tmp
- %TEMP%\146f.tmp
- %TEMP%\146f.tmp-shm
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\uhitwgw
- %APPDATA%\efvdhid
Удаляет следующие файлы
- %ProgramFiles(x86)%\libsaxcrt\stuff\date.txt
- %ProgramFiles(x86)%\libsaxcrt\stuff\tagsreplace.txt
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\tak_deco_lib.dll
- %TEMP%\3e6.tmp-shm
- %TEMP%\3e6.tmp
- %TEMP%\12c7.tmp
- %TEMP%\1316.tmp
- %TEMP%\1401.tmp
- %TEMP%\146f.tmp-shm
- %TEMP%\146f.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\libsaxcrt\install\is-sqf6e.tmp в %ProgramFiles(x86)%\libsaxcrt\install\unins000.exe
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-d6q8e.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\rg_ebur128.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-3amg2.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\wavpackdll.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-h6kmi.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libsoxr.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-858o9.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libsox-3.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-56674.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\uchardet.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-cvvgi.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\utils.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-ui3ru.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libdtsdec.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-h6v23.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\dsd2.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-r7a33.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libvorbis.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-mbojb.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\sqlite3.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-22tsu.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\lame_enc.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-9rg62.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\da.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-nfai2.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\daiso.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-ulh57.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\dstt.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-037pa.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\dsd2pcmt.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-8dd31.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\pcm2dsd.exe
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\lessmsi\is-59kdq.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\lessmsi\lessmsi-v1.6.91.zip
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-1816u.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\d_writer.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-61hkr.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libwebp.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-00ubm.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libwinpthread-1.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-bmak2.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\sd.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\plugins\internal\is-tpfd7.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\plugins\internal\peak_scanner_plugin_c.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\plugins\internal\is-ppkn9.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\plugins\internal\raw_decode_plugin_c.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-b0q6p.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\copying
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-n9k6j.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\7z.exe
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-klttu.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\mp3gain.exe
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-o8n0r.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\takdec.exe
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-uaoh3.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\optimfrog.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-jsrl8.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\opusenc.exe
- %ProgramFiles(x86)%\libsaxcrt\stuff\is-4f7e4.tmp в %ProgramFiles(x86)%\libsaxcrt\stuff\date.txt
- %ProgramFiles(x86)%\libsaxcrt\stuff\is-6giko.tmp в %ProgramFiles(x86)%\libsaxcrt\stuff\tagsreplace.txt
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-bbb6v.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\tak_deco_lib.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-v2jk0.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\avutil-58.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-sno2e.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\avfilter-9.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-jqqcr.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\swresample-4.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-7jac4.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bass.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-feo0s.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bass_aac.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-9sp1q.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassalac.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-nsm4m.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassape.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-937ac.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassdsd.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-263r4.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\basscd.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-drrk4.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassflac.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-hq8ba.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassmix.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-9ct2f.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassopus.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-uqm6h.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\basswma.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-dajc5.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\basswv.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-baaue.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bass_fx.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-co594.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bassmidi.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-l07ar.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bass_tta.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-ibhgk.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\copying.lgplv2.1
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-qobvr.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\ff_helper.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-enu74.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\gain_analysis.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-1m6jp.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libflac_dynamic.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-4vqsa.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\libmp4v2.dll
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\is-44gp6.tmp в %ProgramFiles(x86)%\libsaxcrt\bin\x86\bass_ofr.dll
- %ProgramFiles(x86)%\libsaxcrt\is-4nqf3.tmp в %ProgramFiles(x86)%\libsaxcrt\libsaxcrt.exe
Подменяет следующие файлы
- %ProgramFiles(x86)%\libsaxcrt\stuff\date.txt
- %ProgramFiles(x86)%\libsaxcrt\stuff\tagsreplace.txt
- %ProgramFiles(x86)%\libsaxcrt\bin\x86\tak_deco_lib.dll
Самоудаляется.
Сетевая активность
Подключается к
- 'su####lituyo.org':80
- 'sn####ukeutit.org':80
- 'li#####insteniki.org':80
- 'li####oumumy.org':80
- 'st#####luyastrelia.net':80
- 'ft###yager.cc':80
- 'sl.###anfast.com':80
- '19#.#33.132.30':80
- 'mo####eyclub.org':443
- 'pk#.goog':80
- '38.##.221.193':34368
- 'me###ark.com':80
TCP
Запросы HTTP GET
- http://ft###yager.cc/ftp/index.php
- http://sl.###anfast.com/order/tuc5.exe
- http://pk#.goog/gsr1/gsr1.crt
- http://me###ark.com/css/?st#######
Запросы HTTP POST
- http://su####lituyo.org/
- http://sn####ukeutit.org/
- http://li#####insteniki.org/
- http://li####oumumy.org/
- http://st#####luyastrelia.net/
Другие
- 'mo####eyclub.org':443
- '38.##.221.193':34368
UDP
- DNS ASK on###ituyrs.org
- DNS ASK su####lituyo.org
- DNS ASK sn####ukeutit.org
- DNS ASK li#####insteniki.org
- DNS ASK li####oumumy.org
- DNS ASK st#####luyastrelia.net
- DNS ASK ft###yager.cc
- DNS ASK sl.###anfast.com
- DNS ASK mo####eyclub.org
- DNS ASK pk#.goog
- DNS ASK me###ark.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '' WindowName: 'Td322d_LSAX12061FlashFixClass_Td322d'
Создает и запускает на исполнение
- '%TEMP%\1ce2.exe'
- '%TEMP%\3342.exe'
- '%TEMP%\3a73.exe'
- '%TEMP%\3fd1.exe'
- '%TEMP%\61b4.exe'
- '%TEMP%\is-4s1iv.tmp\61b4.tmp' /SL5="$9022E,8125272,54272,%TEMP%\61B4.exe"
- '%ProgramFiles(x86)%\libsaxcrt\libsaxcrt.exe' -i
- '%ProgramFiles(x86)%\libsaxcrt\libsaxcrt.exe' -s
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /s %TEMP%\2B07.dll
- '%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'
- '%WINDIR%\syswow64\schtasks.exe' /Query
- '%WINDIR%\syswow64\net.exe' helpmsg 6
- '%WINDIR%\syswow64\net1.exe' helpmsg 6
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
