Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- C:\¾ò½ð»ê[100xq]\¾ò½ð»ê[100xq].exe
- C:\¾ò½ð»ê[100xq]\xcdzy\data\52gdun2.pak
- C:\¾ò½ð»ê[100xq]\wav\+¦6.wav
- C:\¾ò½ð»ê[100xq]\wav\+¦5.wav
- C:\¾ò½ð»ê[100xq]\wav\+¦4.wav
- C:\¾ò½ð»ê[100xq]\wav\+¦3.wav
- C:\¾ò½ð»ê[100xq]\wav\+¦2.wav
- C:\¾ò½ð»ê[100xq]\wav\+¦1.mp3
- C:\¾ò½ð»ê[100xq]\wav\sound.lst
- C:\¾ò½ð»ê[100xq]\wav\8-sha.wav
- C:\¾ò½ð»ê[100xq]\wav\7-sha.wav
- C:\¾ò½ð»ê[100xq]\wav\6-sha.wav
- C:\¾ò½ð»ê[100xq]\wav\5-sha.wav
- C:\¾ò½ð»ê[100xq]\wav\4-sha.wav
- C:\¾ò½ð»ê[100xq]\wav\3-sha.wav
- C:\¾ò½ð»ê[100xq]\xcdzy\data\esp_ng.dat
- C:\¾ò½ð»ê[100xq]\wav\2-sha.wav
- C:\¾ò½ð»ê[100xq]\map\leitai9.map
- C:\¾ò½ð»ê[100xq]\gd\pgc.pak
- C:\¾ò½ð»ê[100xq]\data\sm.dat
- C:\¾ò½ð»ê[100xq]\data\newopui.pak
- C:\¾ò½ð»ê[100xq]\data\mapdesc1.dat
- C:\¾ò½ð»ê[100xq]\data\esp-b.dat
- C:\¾ò½ð»ê[100xq]\data\bbzdywb.txt
- %TEMP%\²¹¶¡.zip
- <Текущая директория>\delself.cmd
- %TEMP%\afbb37.txt
- %TEMP%\f25c2fdc518de8b287458ec8804b07d4.ini
- %TEMP%\f25c2fdc518de8b287458ec8804b07d4a.ini
- %TEMP%\¾ò½ð»ê[100xq].exepack.tmp
- %TEMP%\ii.html
- C:\¾ò½ð»ê[100xq]\wav\1-sha.wav
- C:\¾ò½ð»ê[100xq].lnk
Удаляет следующие файлы
- %TEMP%\f25c2fdc518de8b287458ec8804b07d4.ini
- <Текущая директория>\delself.cmd
- %TEMP%\²¹¶¡.zip
Перемещает следующие файлы
- C:\¾ò½ð»ê[100xq].lnk в %HOMEPATH%\desktop\¾ò½ð»ê[100xq].lnk
Самоудаляется.
Сетевая активность
Подключается к
- 'd_#.##rgesder.com':8888
- 'd3.###gesder.com':8888
- 'ht##q.com':80
- 'a.##sf.com':7000
- 'li#####.y-c-h-y-l-b.top':8888
- '10##q.com':43666
- '51##.com':80
- '51##.com':443
- 'oc##.#ectigo.com':80
- 'xv##.#odepay.com':443
TCP
Запросы HTTP GET
- http://d_#.###gesder.com:8888/ via d_#.##rgesder.com
- http://d3.###gesder.com/shell/?pa############################################################################
- http://www.ht##q.com/bmd.txt
- http://li#####.#-c-h-y-l-b.top:8888/junbao/jjh-100xq.txt via li#####.y-c-h-y-l-b.top
- http://10###.com:43666/qd1/jjh/link.htm via 10##q.com
- http://10###.com:43666/qd1/jjh/linkimg/Link.jpg via 10##q.com
- http://www.51##.com/d.php?id########
- http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBRDC9IOTxN6GmyRjyTl2n4yTUczyAQUjYxexFStiuF36Zv5mwXhuAGNYeECEQCJRy1Cj4oiz9O0fuMnWkAp
Другие
- 'a.##sf.com':7000
- '51##.com':443
- 'xv##.#odepay.com':443
UDP
- DNS ASK d_#.##rgesder.com
- DNS ASK d3.###gesder.com
- DNS ASK a.##sf.com
- DNS ASK ht##q.com
- DNS ASK li#####.y-c-h-y-l-b.top
- DNS ASK 10##q.com
- DNS ASK 51##.com
- DNS ASK xv##.#odepay.com
- DNS ASK oc##.#ectigo.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- 'C:\¾ò½ð»ê[100xq]\¾ò½ð»ê[100xq].exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c delself.cmd (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del "C:\¾ò½ð»ê[100xq]\*.dll" (со скрытым окном)
