Техническая информация
Вредоносные функции
Загружает
- https://d22hce23hy1ej9.cloudfront.net/load/th.php?a=2836&c=1000 как stat
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\low\nsq2e7d.tmp\inetc.dll
- %TEMP%\low\tar4544.tmp
- %TEMP%\low\cab46ea.tmp
- %TEMP%\low\tar46eb.tmp
- %TEMP%\low\cab472a.tmp
- %TEMP%\low\tar472b.tmp
- %TEMP%\low\cab4883.tmp
- %TEMP%\low\tar4884.tmp
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %TEMP%\low\cab4902.tmp
- %TEMP%\low\cab4ac9.tmp
- %TEMP%\low\tar4aca.tmp
- %TEMP%\low\cab4b09.tmp
- %TEMP%\low\tar4b0a.tmp
- %TEMP%\low\cab4cef.tmp
- %TEMP%\low\tar4cff.tmp
- %TEMP%\low\cab527c.tmp
- %TEMP%\low\tar4503.tmp
- %TEMP%\low\cab4533.tmp
- %TEMP%\low\cab4502.tmp
- %TEMP%\low\tar4465.tmp
- %TEMP%\low\cab4464.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6nrp8rpa\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0mrmt9l9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\a708ws9c\desktop.ini
- %TEMP%\low\tar527d.tmp
- %TEMP%\low\tar4903.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6p29u7yq\desktop.ini
- %APPDATA%\microsoft\windows\ietldcache\low\index.dat
- %TEMP%\low\cab3bc7.tmp
- %TEMP%\low\tar3bc8.tmp
- %TEMP%\low\cab3f9f.tmp
- %TEMP%\low\tar3fa0.tmp
- %TEMP%\low\cab4221.tmp
- %TEMP%\low\tar4222.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %TEMP%\low\nsq2e7d.tmp\jan.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6nrp8rpa\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\0mrmt9l9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\a708ws9c\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\6p29u7yq\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Удаляет следующие файлы
- %TEMP%\low\cab3bc7.tmp
- %TEMP%\low\tar527d.tmp
- %TEMP%\low\cab527c.tmp
- %TEMP%\low\tar4cff.tmp
- %TEMP%\low\cab4cef.tmp
- %TEMP%\low\tar4b0a.tmp
- %TEMP%\low\cab4b09.tmp
- %TEMP%\low\tar4aca.tmp
- %TEMP%\low\cab4ac9.tmp
- %TEMP%\low\tar4903.tmp
- %TEMP%\low\cab4902.tmp
- %TEMP%\low\tar4884.tmp
- %TEMP%\low\cab4883.tmp
- %TEMP%\low\tar472b.tmp
- %TEMP%\low\cab472a.tmp
- %TEMP%\low\tar46eb.tmp
- %TEMP%\low\cab46ea.tmp
- %TEMP%\low\tar4544.tmp
- %TEMP%\low\cab4533.tmp
- %TEMP%\low\tar4503.tmp
- %TEMP%\low\cab4502.tmp
- %TEMP%\low\tar4465.tmp
- %TEMP%\low\cab4464.tmp
- %TEMP%\low\tar4222.tmp
- %TEMP%\low\cab4221.tmp
- %TEMP%\low\tar3fa0.tmp
- %TEMP%\low\cab3f9f.tmp
- %TEMP%\low\tar3bc8.tmp
- %TEMP%\low\nsq2e7d.tmp\inetc.dll
- %TEMP%\low\nsq2e7d.tmp\jan.bat
Сетевая активность
Подключается к
- 'd2#######7b91p.cloudfront.net':443
- 'x.##2.us':80
- 'o.##2.us':80
- 'oc##.###tg2.amazontrust.com':80
- 'oc##.####ca1.amazontrust.com':80
- 'd2#######y1ej9.cloudfront.net':443
TCP
Запросы HTTP GET
- http://x.##2.us/x.cer
- http://o.##2.us//MEowSDBGMEQwQjAJBgUrDgMCGgUABBSLwZ6EW5gdYc9UaSEaaLjjETNtkAQUv1%2B30c7dH4b0W1Ws3NcQwg6piOcCCQCnDkpMNIK3fw%3D%3D
- http://oc##.###tg2.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBSIfaREXmfqfJR3TkMYnD7O5MhzEgQUnF8A36oB1zArOIiiuG1KnPIRkYMCEwZ%2FlEoqJ83z%2BsKuKwH5CO65xMY%3D
- http://oc##.####ca1.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPWaOUU8%2B5VZ5%2Fa9jFTaU9pkK3FAQUhBjMhTTsvAyUlC4IWZzHshBOCggCEwdzEjgLnWaIozse2b%2BczaaODg8%3D
Другие
- 'd2#######7b91p.cloudfront.net':443
- 'd2#######y1ej9.cloudfront.net':443
UDP
- DNS ASK d2#######7b91p.cloudfront.net
- DNS ASK x.##2.us
- DNS ASK o.##2.us
- DNS ASK oc##.###tg2.amazontrust.com
- DNS ASK oc##.####ca1.amazontrust.com
- DNS ASK d2#######y1ej9.cloudfront.net
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\Low\nsq2E7D.tmp\jan.bat"
