Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- C:\õ÷õ½¡ï¹«òæ[b]\õ÷õ½¡ï¹«òæ[b].exe
- C:\õ÷õ½¡ï¹«òæ[b]\data\newopui.pak
- C:\õ÷õ½¡ï¹«òæ[b]\wav\sound.lst
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\+¦+¦¦+-º.pak
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\ui1.pak
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\prguse.pak
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\newopui.pak
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\espzs.pak
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\chrsel.pak
- C:\õ÷õ½¡ï¹«òæ[b]\mxhl2021\data\52esp.pak
- C:\õ÷õ½¡ï¹«òæ[b]\music\9.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\8.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\7.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\6.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\5.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\4.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\3.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\2.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\music\1.mp3
- C:\õ÷õ½¡ï¹«òæ[b]\data\esp-b.dat
- %TEMP%\²¹¶¡.zip
- <Текущая директория>\delself.cmd
- %TEMP%\279c66.txt
- %TEMP%\eac54d07b2655c9ad62cc2826f3157de.ini
- %TEMP%\eac54d07b2655c9ad62cc2826f3157dea.ini
- %TEMP%\õ÷õ½¡ï¹«òæ[b].exepack.tmp
- %TEMP%\ii.html
- %ALLUSERSPROFILE%\ttt4.ini
- C:\õ÷õ½¡ï¹«òæ[b].lnk
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
Удаляет следующие файлы
- %TEMP%\eac54d07b2655c9ad62cc2826f3157de.ini
- <Текущая директория>\delself.cmd
- %TEMP%\²¹¶¡.zip
Перемещает следующие файлы
- C:\õ÷õ½¡ï¹«òæ[b].lnk в %HOMEPATH%\desktop\õ÷õ½¡ï¹«òæ[b].lnk
Самоудаляется.
Сетевая активность
Подключается к
- 'd_#.##rgesder.com':8888
- 'd3.###gesder.com':8888
- 'a.##sf.com':7000
- 'ht##q.com':80
- '14#.#10.18.116':12600
- '43.##8.99.75':1777
TCP
Запросы HTTP GET
- http://d_#.###gesder.com:8888/ via d_#.##rgesder.com
- http://d3.###gesder.com/shell/?pa############################################################################
- http://www.ht##q.com/bmd.txt
Другие
- 'a.##sf.com':7000
- '14#.#10.18.116':12600
UDP
- DNS ASK d_#.##rgesder.com
- DNS ASK d3.###gesder.com
- DNS ASK a.##sf.com
- DNS ASK ht##q.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- 'C:\õ÷õ½¡ï¹«òæ[b]\õ÷õ½¡ï¹«òæ[b].exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c delself.cmd (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del "C:\Õ÷Õ½¡ï¹«Òæ[B]\*.dll" (со скрытым окном)
