Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Tmphjusy' = 'C:\Users\Public\Tmphjusy.url'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- ysujhpmt.pif
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\libraries\null
- C:\users\public\libraries\easinvoker.exe
- C:\users\public\libraries\tmphjusyo.bat
- C:\users\public\libraries\netutils.dll
- C:\users\public\libraries\kdeco.bat
- %WINDIR% \system32\easinvoker.exe
- %WINDIR% \system32\netutils.dll
- C:\users\public\libraries\tmphjusy.pif
- C:\users\public\libraries\tmphjusy
- C:\users\public\tmphjusy.url
- C:\users\public\libraries\ysujhpmt.pif
Сетевая активность
Подключается к
- '20##.#ilemail.com':443
TCP
Другие
- '20##.#ilemail.com':443
UDP
- DNS ASK 20##.#ilemail.com
Другое
Создает и запускает на исполнение
- 'C:\users\public\libraries\ysujhpmt.pif'
- '%WINDIR%\syswow64\extrac32.exe' /C /Y <Полный путь к файлу> C:\\Users\\Public\\Libraries\\Tmphjusy.PIF' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Public\Libraries\TmphjusyO.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Public\Libraries\TmphjusyO.bat" "
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" ECHO F"
- '%WINDIR%\syswow64\xcopy.exe' "easinvoker.exe" "%WINDIR% \System32\" /K /D /H /Y
- '%WINDIR%\syswow64\xcopy.exe' "Aaa.bat" "%WINDIR% \System32\" /K /D /H /Y
- '%WINDIR%\syswow64\xcopy.exe' "netutils.dll" "%WINDIR% \System32\" /K /D /H /Y
- '%WINDIR%\syswow64\extrac32.exe' /C /Y <Полный путь к файлу> C:\\Users\\Public\\Libraries\\Tmphjusy.PIF
