Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\securityhealth
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' -f -im vbc.exe
- '<SYSTEM32>\taskkill.exe' -f -im ngen.exe
- '<SYSTEM32>\taskkill.exe' -f -im ntlhost.exe.exe
- '<SYSTEM32>\taskkill.exe' -f -im WinHost32.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\securityhealthsystray.exe
- %WINDIR%\ime\password.txt
- %WINDIR%\ime\login.txt
- %WINDIR%\ime\servers.txt
- %WINDIR%\debug\crd
- %WINDIR%\debug\net.log
- %WINDIR%\ime\settings.ini
- %WINDIR%\debug\swap
- <Текущая директория>\ms.txt
- %WINDIR%\debug\ms.exe
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %WINDIR%\ime\credentials.txt
- %WINDIR%\debug\config.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qtw2040h\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\c3sm0625\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xxzn22zp\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zwoq1bz6\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %WINDIR%\debug\tmp
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %WINDIR%\debug\11
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\zwoq1bz6\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xxzn22zp\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\c3sm0625\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qtw2040h\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- %WINDIR%\debug\tmp
- %WINDIR%\debug\ms.exe
- %WINDIR%\debug\swap
- %WINDIR%\debug\crd
- %WINDIR%\ime\password.txt
- %WINDIR%\ime\login.txt
Подменяет следующие файлы
- %WINDIR%\debug\ms.exe
Сетевая активность
Подключается к
- 'ge###ugin.net':80
- 'fa###ife.info':80
TCP
Запросы HTTP GET
- http://www.ge###ugin.net/json.gp?ip#
- http://www.fa###ife.info/server/ITnew.txt
- http://www.fa###ife.info/11
Запросы HTTP POST
- http://www.fa###ife.info/index.php?ac#############
UDP
- DNS ASK ge###ugin.net
- DNS ASK fa###ife.info
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\debug\ms.exe' "D" "L"
- '<SYSTEM32>\cmd.exe' /c schtasks /create /F /tn "SecurityHealth" /sc onstart /delay 0000:30 /rl highest /ru system /tr "%WINDIR%\SysWOW64\SecurityHealthSystray.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im vbc.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im ngen.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im ntlhost.exe.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im WinHost32.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\debug\ms.exe "D" "L" > ms.txt' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /F /tn "SecurityHealth" /sc onstart /delay 0000:30 /rl highest /ru system /tr "%WINDIR%\SysWOW64\SecurityHealthSystray.exe"
- '<SYSTEM32>\schtasks.exe' /create /F /tn "SecurityHealth" /sc onstart /delay 0000:30 /rl highest /ru system /tr "%WINDIR%\SysWOW64\SecurityHealthSystray.exe"
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im vbc.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im ngen.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im ntlhost.exe.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im WinHost32.exe
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\debug\ms.exe "D" "L" > ms.txt
