Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\Microsoftbill] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\Microsoftbill] 'ImagePath' = '<SYSTEM32>\spool\svchost.exe -service'
Создает следующие сервисы
- 'Microsoftbill' <SYSTEM32>\spool\svchost.exe -service
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\iexp1orer.exe
- <SYSTEM32>\spool\web\accadd.htm
- <SYSTEM32>\spool\web\accheader.htm
- <SYSTEM32>\spool\web\acclist.htm
- <SYSTEM32>\spool\web\account.htm
- <SYSTEM32>\spool\web\index.html
- <SYSTEM32>\spool\web\list.htm
- <SYSTEM32>\spool\web\log.htm
- <SYSTEM32>\spool\web\settings.htm
- <SYSTEM32>\spool\accinfo.ini
- <SYSTEM32>\spool\ccproxy.ini
- <SYSTEM32>\spool\cdial.dll
- <SYSTEM32>\spool\spool.bat
- <SYSTEM32>\spool\ntsvc.exe
- <SYSTEM32>\spool\uuid.dll
- <SYSTEM32>\spool\whw1.exe
- <SYSTEM32>\spool\svchost.exe
- <SYSTEM32>\spool\spool.exe
- <SYSTEM32>\spool\language\english.ini
- nul
- <SYSTEM32>\spool\language\english.chm
- <SYSTEM32>\spool\language\chinesegb.chm
- <SYSTEM32>\spool\basic.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\dnserrordiagoff_weboc[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\dnserrordiagoff_weboc[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\background_gradient[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\info_48[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\bullet[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\down[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\background_gradient[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\info_48[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\bullet[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\down[1]
- <SYSTEM32>\spool\language\chinesegb.ini
- <Текущая директория>\km.bat
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\dnserrordiagoff_weboc[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\604pwz7f\errorpagetemplate[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\errorpagestrings[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\httperrorpagesscripts[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\background_gradient[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\q1e129qo\info_48[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\dzhkzdlo\bullet[1]
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bg0n0zou\down[1]
- <SYSTEM32>\spool\ntsvc.exe
- <SYSTEM32>\spool\whw1.exe
- <SYSTEM32>\spool\spool.exe
Самоудаляется.
Сетевая активность
Подключается к
- '21#.#40.85.247':82
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\iexp1orer.exe' stop LogicalDisk
- '<SYSTEM32>\spool\ntsvc.exe' config "Microsoftbill" DisplayName= "Windows Managements Instrumentation Drivers"
- '<SYSTEM32>\spool\ntsvc.exe' create Microsoftbill binpath= "<SYSTEM32>\spool\svchost.exe -service" start= auto Displayname= "Windows Managements Instrumentation Drivers"
- '<SYSTEM32>\spool\ntsvc.exe' stop Microsoftbill
- '<SYSTEM32>\spool\whw1.exe' stop Microsoftbill
- '<SYSTEM32>\spool\spool.exe'
- '<Текущая директория>\iexp1orer.exe' start LogicalDisk
- '<Текущая директория>\iexp1orer.exe' start Microsoftbill
- '<SYSTEM32>\spool\basic.exe'
- '<Текущая директория>\iexp1orer.exe' stop svchost
- '<SYSTEM32>\spool\ntsvc.exe' description Microsoftbill "Component Object Model (COM +) components of the configuration and tracking. If you stop the service, most COM +-based components will not work correctly. If you disa...
- '<Текущая директория>\iexp1orer.exe' stop taskmgr
- '<Текущая директория>\iexp1orer.exe' stop wmisrvs
- '<Текущая директория>\iexp1orer.exe' stop RunAServces
- '<Текущая директория>\iexp1orer.exe' delete vsmon
- '<Текущая директория>\iexp1orer.exe' stop vsmon
- '<Текущая директория>\iexp1orer.exe' delete CCproxy
- '<Текущая директория>\iexp1orer.exe' delete RasAuto
- '<Текущая директория>\iexp1orer.exe' stop CCproxy
- '<Текущая директория>\iexp1orer.exe' stop RasAuto
- '<Текущая директория>\iexp1orer.exe' stop Microsoftbill
- '<Текущая директория>\iexp1orer.exe' stop Bethserv
- '<SYSTEM32>\spool\ntsvc.exe' start Microsoftbill
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy <SYSTEM32>\wins\delphi.exe <SYSTEM32>\dllcache\delphi.exe (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h svchost.exe
- '%WINDIR%\syswow64\attrib.exe' +s +h +r Language
- '%WINDIR%\syswow64\attrib.exe' +s +h +r web
- '%WINDIR%\syswow64\attrib.exe' +s +h uuid.dll
- '%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\Km.bat"" (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h CCProxy.ini
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 1 -w 500
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\spool\spool.bat (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h AccInfo.ini
- '%WINDIR%\syswow64\attrib.exe' +s +h CDial.dll
- '%WINDIR%\syswow64\cmd.exe' /c type %systemdrive%\\boot.ini>windows.log (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c copy <SYSTEM32>\spool\basic.exe <SYSTEM32>\dllcache\basic.exe (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop vsmon (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop Microsoftbill (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' delete vsmon (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop CCproxy (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' delete RasAuto (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' delete CCproxy (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop RasAuto (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop svchost (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' start Microsoftbill (со скрытым окном)
- '<SYSTEM32>\spool\basic.exe' (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop RunAServces (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop wmisrvs (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop Bethserv (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' start LogicalDisk (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop taskmgr (со скрытым окном)
- '<Текущая директория>\iexp1orer.exe' stop LogicalDisk (со скрытым окном)
