Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160180} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160190} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160200} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160170} /qn /norestart
- '<SYSTEM32>\find.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160140} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160150} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160160} /qn /norestart
- '<SYSTEM32>\find.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160210} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416023FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216024FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416024FF} /qn /norestart
- '<SYSTEM32>\find.exe' /pid=3400
- '<SYSTEM32>\tasklist.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160220} /qn /norestart
- '<SYSTEM32>\find.exe' /pid=3640
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216023FF} /qn /norestart
- '<SYSTEM32>\taskkill.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160130} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160020} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160030} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160040} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160010} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150020} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150010} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150000} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160050} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160110} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160120} /qn /norestart
- '<SYSTEM32>\cscript.exe' /pid=3016
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160090} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160060} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160070} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0160080} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216025FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416034FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416035FF} /qn /norestart
- '<SYSTEM32>\find.exe' /pid=3532
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216033FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416032FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216032FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416033FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216035FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /pid=3872
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216037FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416038FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416037FF} /qn /norestart
- '<SYSTEM32>\tasklist.exe' /pid=3576
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416036FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216036FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /pid=2984
- '<SYSTEM32>\tasklist.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216027FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /pid=3252
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416027FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /pid=452
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416025FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216026FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416026FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216028FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416030FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216031FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416031FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216030FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416028FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F83216029FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{26A24AE4-039D-4CA4-87B4-2F86416029FF} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150030} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /V
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142180} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142170} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142190} /qn /norestart
- '<SYSTEM32>\taskkill.exe' /F /IM "jqs.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "jusched.exe"
- '<SYSTEM32>\find.exe' /V "saves"
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142160} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142110} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142100} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142090} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142120} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142150} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142140} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142130} /qn /norestart
- '<SYSTEM32>\taskkill.exe' /F /IM "javaws.exe"
- '<SYSTEM32>\tasklist.exe' /FO:TABLE /NH
- '<SYSTEM32>\find.exe' "java.exe"
- '<SYSTEM32>\taskkill.exe' /IM "java.exe"
- '<SYSTEM32>\cscript.exe' //Nologo /T:60 C:\FixMC\SysInfo.vbs
- '<SYSTEM32>\cmd.exe' /c ""C:\FixMC\FixMC.bat""
- '<SYSTEM32>\mode.com' con cols=50 lines=20
- '<SYSTEM32>\attrib.exe' +H +S C:\FixMC
- '<SYSTEM32>\find.exe' "javaw.exe"
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\taskkill.exe' /F /IM "java.exe"
- '<SYSTEM32>\taskkill.exe' /F /IM "javaw.exe"
- '<SYSTEM32>\find.exe' "jusched.exe"
- '<SYSTEM32>\taskkill.exe' /IM "javaw.exe"
- '<SYSTEM32>\find.exe' "javaws.exe"
- '<SYSTEM32>\find.exe' "jqs.exe"
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142080} /qn /norestart
- '<SYSTEM32>\tasklist.exe' /pid=3488
- '<SYSTEM32>\find.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150110} /qn /norestart
- '<SYSTEM32>\find.exe' /pid=3516
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150120} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150150} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150140} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150130} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150100} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150060} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150050} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150040} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /pid=3752
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150090} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150080} /qn /norestart
- '<SYSTEM32>\find.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150070} /qn /norestart
- '<SYSTEM32>\tasklist.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150160} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142030} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142020} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142010} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142040} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142070} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142060} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142050} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{7148F0A8-6813-11D6-A77B-00B0D0142000} /qn /norestart
- '<SYSTEM32>\taskkill.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150180} /qn /norestart
- '<SYSTEM32>\find.exe' /pid=3180
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150170} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150190} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150210} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150220} /qn /norestart
- '<SYSTEM32>\msiexec.exe' /X{3248F0A8-6813-11D6-A77B-00B0D0150200} /qn /norestart
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\msiexec.exe
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\find.exe
- <SYSTEM32>\taskkill.exe
- <SYSTEM32>\tasklist.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- javaw.exe
- java.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\FixMC\MCFixLog.txt
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\E04822AD18D472EA5B582E6E6F8C6B9A
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\E04822AD18D472EA5B582E6E6F8C6B9A
- %TEMP%\nsa2.tmp\System.dll
- C:\FixMC\FixMC.bat
- C:\FixMC\wget.exe
- C:\FixMC\SysInfo.vbs
Сетевая активность:
Подключается к:
- '20#.#6.232.182':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/pki/crl/products/WinIntPCA.crl
- wp#d/wpad.dat
UDP:
- DNS ASK crl.microsoft.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
