Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' /pid=3072
- '<SYSTEM32>\wscript.exe' /pid=3160
- '<SYSTEM32>\wscript.exe' /pid=3304
- '<SYSTEM32>\xcopy.exe' /pid=3168
- '<SYSTEM32>\wscript.exe' /pid=1728
- '<SYSTEM32>\xcopy.exe' /pid=2376
- '<SYSTEM32>\xcopy.exe' /pid=2908
- '<SYSTEM32>\xcopy.exe' /pid=2884
- '<SYSTEM32>\xcopy.exe' /pid=3300
- '<SYSTEM32>\wscript.exe' /pid=3240
- '<SYSTEM32>\xcopy.exe' /pid=3008
- '<SYSTEM32>\wscript.exe' /pid=3588
- '<SYSTEM32>\wscript.exe' /pid=3780
- '<SYSTEM32>\xcopy.exe' /pid=3556
- '<SYSTEM32>\wscript.exe' <SYSTEM32>\ime\ЅрЙЅ°ІИ«јмІй.lnk "%ALLUSERSPROFILE%\Start Menu\Programs\Startup"
- '<SYSTEM32>\xcopy.exe' /pid=2664
- '<SYSTEM32>\wscript.exe' /pid=3884
- '<SYSTEM32>\wscript.exe' /c xcopy <SYSTEM32>\ime\ЅрЙЅ°ІИ«јмІй.lnk "%ALLUSERSPROFILE%\Start Menu\Programs\Startup"
- '<SYSTEM32>\wscript.exe' /pid=3148
- '<SYSTEM32>\wscript.exe' /c <SYSTEM32>\ime\scvhot2.bat
- '<SYSTEM32>\wscript.exe' /pid=3396
- '<SYSTEM32>\wscript.exe' /pid=3388
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\ime\scvhot2.vbs"
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\ime\scvhot2.bat
- '<SYSTEM32>\wscript.exe' /pid=204
- '<SYSTEM32>\xcopy.exe' <SYSTEM32>\ime\ЅрЙЅ°ІИ«јмІй.lnk "%ALLUSERSPROFILE%\Start Menu\Programs\Startup"
- '<SYSTEM32>\xcopy.exe' /pid=3468
- '<SYSTEM32>\wscript.exe' /pid=316
- '<SYSTEM32>\xcopy.exe' "<SYSTEM32>\ime\scvhot2.vbs"
- '<SYSTEM32>\xcopy.exe' /c <SYSTEM32>\ime\scvhot2.bat
- '<SYSTEM32>\wscript.exe' /pid=1408
- '<SYSTEM32>\xcopy.exe' /c xcopy <SYSTEM32>\ime\ЅрЙЅ°ІИ«јмІй.lnk "%ALLUSERSPROFILE%\Start Menu\Programs\Startup"
- '<SYSTEM32>\wscript.exe' /pid=3504
- '<SYSTEM32>\wscript.exe' /pid=3764
- '<SYSTEM32>\xcopy.exe' /pid=3632
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\xcopy.exe
- <SYSTEM32>\wscript.exe
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\IME\??E?°?E«?i?e.lnk
- <SYSTEM32>\IME\scvhot2.bat
- <SYSTEM32>\IME\scvhot2.vbs
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xh1[1].xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xh1[1].xml
- <SYSTEM32>\IME\scvhot2.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xh1[1].xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xh1[1].xml
Сетевая активность:
Подключается к:
- 'co####.vsoso.com':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- co####.vsoso.com/kh/xh1.xml
UDP:
- DNS ASK co####.vsoso.com
