Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'fef' = '%APPDATA%\fefe\Loader.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\fefe\UFASoft.exe' /pid=3716
- '%APPDATA%\fefe\UFASoft.exe' /pid=4672
- '%APPDATA%\fefe\UFASoft.exe' /pid=6300
- '%APPDATA%\fefe\UFASoft.exe' /pid=6132
- '%APPDATA%\fefe\UFASoft.exe' /pid=2508
- '%APPDATA%\fefe\UFASoft.exe' /pid=3288
- '%APPDATA%\fefe\UFASoft.exe' /pid=5844
- '%APPDATA%\fefe\UFASoft.exe' /pid=4472
- '%APPDATA%\fefe\UFASoft.exe' /pid=7232
- '%APPDATA%\fefe\UFASoft.exe' /pid=5344
- '%APPDATA%\fefe\UFASoft.exe' /pid=6976
- '%APPDATA%\fefe\UFASoft.exe' /pid=7884
- '%APPDATA%\fefe\UFASoft.exe' /pid=5576
- '%APPDATA%\fefe\UFASoft.exe' /pid=6740
- '%APPDATA%\fefe\UFASoft.exe' /pid=6756
- '%APPDATA%\fefe\UFASoft.exe' /pid=720
- '%APPDATA%\fefe\UFASoft.exe' /pid=7332
- '%APPDATA%\fefe\UFASoft.exe' /pid=7200
- '%APPDATA%\fefe\UFASoft.exe' /pid=7636
- '%APPDATA%\fefe\UFASoft.exe' /pid=7604
- '%APPDATA%\fefe\UFASoft.exe' /pid=6832
- '%APPDATA%\fefe\UFASoft.exe' /pid=6672
- '%APPDATA%\fefe\UFASoft.exe' /pid=7132
- '%APPDATA%\fefe\UFASoft.exe' /pid=7120
- '%APPDATA%\fefe\UFASoft.exe' /pid=3608
- '%APPDATA%\fefe\UFASoft.exe' /pid=8180
- '%APPDATA%\fefe\UFASoft.exe' /pid=3108
- '%APPDATA%\fefe\UFASoft.exe' /pid=6052
- '%APPDATA%\fefe\UFASoft.exe' /pid=7616
- '%APPDATA%\fefe\UFASoft.exe' /pid=8096
- '%APPDATA%\fefe\UFASoft.exe' /pid=7776
- '%APPDATA%\fefe\UFASoft.exe' /pid=8024
- '%APPDATA%\fefe\UFASoft.exe' /pid=3316
- '%APPDATA%\fefe\UFASoft.exe' /pid=7784
- '%APPDATA%\fefe\UFASoft.exe' /pid=8004
- '%APPDATA%\fefe\UFASoft.exe' /pid=3408
- '%APPDATA%\fefe\UFASoft.exe' /pid=7624
- '%APPDATA%\fefe\UFASoft.exe' /pid=6392
- '%APPDATA%\fefe\UFASoft.exe' /pid=7796
- '%APPDATA%\fefe\UFASoft.exe' /pid=7040
- '%APPDATA%\fefe\UFASoft.exe' /pid=7140
- '%APPDATA%\fefe\UFASoft.exe' /pid=296
- '%APPDATA%\fefe\UFASoft.exe' /pid=8184
- '%APPDATA%\fefe\UFASoft.exe' /pid=4992
- '%APPDATA%\fefe\UFASoft.exe' /pid=6292
- '%APPDATA%\fefe\UFASoft.exe' /pid=5684
- '%APPDATA%\fefe\UFASoft.exe' /pid=7820
- '%APPDATA%\fefe\UFASoft.exe' /pid=6084
- '%APPDATA%\fefe\UFASoft.exe' /pid=7876
- '%APPDATA%\fefe\UFASoft.exe' /pid=7620
- '%APPDATA%\fefe\UFASoft.exe' /pid=5564
- '%APPDATA%\fefe\UFASoft.exe' /pid=3368
- '%APPDATA%\fefe\UFASoft.exe' /pid=7684
- '%APPDATA%\fefe\UFASoft.exe' /pid=7944
- '%APPDATA%\fefe\UFASoft.exe' /pid=7524
- '%APPDATA%\fefe\UFASoft.exe' /pid=7716
- '%APPDATA%\fefe\UFASoft.exe' /pid=5744
- '%APPDATA%\fefe\UFASoft.exe' /pid=5616
- '%APPDATA%\fefe\UFASoft.exe' /pid=6812
- '%APPDATA%\fefe\UFASoft.exe' /pid=5876
- '%APPDATA%\fefe\UFASoft.exe' /pid=500
- '%APPDATA%\fefe\UFASoft.exe' /pid=3176
- '%APPDATA%\fefe\UFASoft.exe' /pid=5956
- '%APPDATA%\fefe\UFASoft.exe' /pid=6440
- '%APPDATA%\fefe\UFASoft.exe' /pid=6816
- '%APPDATA%\fefe\UFASoft.exe' /pid=7096
- '%APPDATA%\fefe\UFASoft.exe' /pid=7112
- '%APPDATA%\fefe\UFASoft.exe' /pid=7176
- '%APPDATA%\fefe\UFASoft.exe' /pid=6932
- '%APPDATA%\fefe\UFASoft.exe' /pid=6556
- '%APPDATA%\fefe\UFASoft.exe' /pid=6772
- '%APPDATA%\fefe\UFASoft.exe' /pid=6896
- '%APPDATA%\fefe\UFASoft.exe' /pid=7336
- '%APPDATA%\fefe\UFASoft.exe' /pid=7736
- '%APPDATA%\fefe\UFASoft.exe' /pid=7900
- '%APPDATA%\fefe\UFASoft.exe' /pid=7896
- '%APPDATA%\fefe\UFASoft.exe' /pid=7700
- '%APPDATA%\fefe\UFASoft.exe' /pid=7416
- '%APPDATA%\fefe\UFASoft.exe' /pid=7480
- '%APPDATA%\fefe\UFASoft.exe' /pid=7576
- '%APPDATA%\fefe\UFASoft.exe' /pid=5000
- '%APPDATA%\fefe\UFASoft.exe' /pid=4620
- '%APPDATA%\fefe\UFASoft.exe' /pid=4420
- '%APPDATA%\fefe\UFASoft.exe' /pid=5096
- '%APPDATA%\fefe\UFASoft.exe' -a sha256 -g no -o http://ap#.##tcoin.cz:8332 -u executioner.worker1 -p kala123 -t 1
- '%APPDATA%\fefe\UFASoft.exe' /pid=5104
- '%APPDATA%\fefe\UFASoft.exe' /pid=2756
- '%APPDATA%\fefe\UFASoft.exe' /pid=2832
- '%APPDATA%\fefe\UFASoft.exe' /pid=6476
- '%APPDATA%\fefe\UFASoft.exe' /pid=6416
- '%APPDATA%\fefe\UFASoft.exe' /pid=6576
- '%APPDATA%\fefe\UFASoft.exe' /pid=6516
- '%APPDATA%\fefe\UFASoft.exe' /pid=1376
- '%APPDATA%\fefe\UFASoft.exe' /pid=5664
- '%APPDATA%\fefe\UFASoft.exe' /pid=5364
- '%APPDATA%\fefe\UFASoft.exe' /pid=7980
- '%APPDATA%\fefe\UFASoft.exe' /pid=5196
- '%APPDATA%\fefe\UFASoft.exe' /pid=6024
- '%APPDATA%\fefe\UFASoft.exe' /pid=5296
- '%APPDATA%\fefe\UFASoft.exe' /pid=1152
- '%APPDATA%\fefe\UFASoft.exe' /pid=6256
- '%APPDATA%\fefe\UFASoft.exe' /pid=6128
- '%APPDATA%\fefe\UFASoft.exe' /pid=5216
- '%APPDATA%\fefe\UFASoft.exe' /pid=5496
- '%APPDATA%\fefe\UFASoft.exe' /pid=6252
- '%APPDATA%\fefe\UFASoft.exe' /pid=6316
- '%APPDATA%\fefe\UFASoft.exe' /pid=6112
- '%APPDATA%\fefe\UFASoft.exe' /pid=5084
- '%APPDATA%\fefe\UFASoft.exe' /pid=4300
- '%APPDATA%\fefe\UFASoft.exe' /pid=5984
- '%APPDATA%\fefe\UFASoft.exe' /pid=6104
- '%APPDATA%\fefe\UFASoft.exe' /pid=3208
- '%APPDATA%\fefe\UFASoft.exe' /pid=5124
- '%APPDATA%\fefe\UFASoft.exe' /pid=5184
- '%APPDATA%\fefe\UFASoft.exe' /pid=4240
- '%APPDATA%\fefe\UFASoft.exe' /pid=8076
- '%APPDATA%\fefe\UFASoft.exe' /pid=8160
- '%APPDATA%\fefe\UFASoft.exe' /pid=4340
- '%APPDATA%\fefe\UFASoft.exe' /pid=3168
- '%APPDATA%\fefe\UFASoft.exe' /pid=4820
- '%APPDATA%\fefe\UFASoft.exe' /pid=4720
- '%APPDATA%\fefe\UFASoft.exe' /pid=5764
- '%APPDATA%\fefe\UFASoft.exe' /pid=4792
- '%APPDATA%\fefe\UFASoft.exe' /pid=3768
- '%APPDATA%\fefe\UFASoft.exe' /pid=3988
- '%APPDATA%\fefe\UFASoft.exe' /pid=4192
- '<SYSTEM32>\attrib.exe' (загружен из сети Интернет)
- '%APPDATA%\fefe\UFASoft.exe' (загружен из сети Интернет)
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' -a sha256 -g no -o http://ap#.##tcoin.cz:8332 -u executioner.worker1 -p kala123 -t 1
- '<SYSTEM32>\attrib.exe' -s -h %APPDATA%\fefe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\attrib.exe
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\fefe\phatk.cl
- %APPDATA%\fefe\miner.dll
- %APPDATA%\fefe\usft_ext.dll
- %APPDATA%\fefe\phatk.ptx
- %APPDATA%\fefe\coinutil.dll
- %APPDATA%\fefe\bdb.dll
- %APPDATA%\fefe\UFASoft.exe
- %APPDATA%\fefe\btc-evergreen.il
- %APPDATA%\fefe\btc.il
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\fefe\Loader.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/sov1001/miner.dll
- 19#.#0.57.179/sov1001/coinutil.dll
- 19#.#0.57.179/sov1001/phatk.cl
- 19#.#0.57.179/sov1001/usft_ext.dll
- 19#.#0.57.179/sov1001/phatk.ptx
- 19#.#0.57.179/sov1001/coin-miner.exe
- wp#d/wpad.dat
- 19#.#0.57.179/sov1001/bdb.dll
- 19#.#0.57.179/sov1001/btc-evergreen.il
- 19#.#0.57.179/sov1001/btc.il
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
