Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\PcrdEom] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\PcrdEom] 'ImagePath' = '%WINDIR%\SysWOW64\99c6.exe'
Создает следующие сервисы
- 'PcrdEom' %WINDIR%\SysWOW64\99c6.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\m2zboaru\set.tmp
- %TEMP%\m2zboaru\b.dll.zgx.tmp
- %TEMP%\m2zboaru\b.dll.zgx
- %TEMP%\m2zboaru\p.dll.zgx.tmp
- %TEMP%\m2zboaru\p.dll.zgx
- %TEMP%\m2zboaru\s.exe.tmp
- %TEMP%\m2zboaru\s.exe
- %TEMP%\m2zboaru\_uninstall
- %TEMP%\m2zboaru\2.dll
- %TEMP%\m2zboaru\3.dll
- %TEMP%\m2zboaru\4.dll
- %WINDIR%\syswow64\-123-3782-28
- %WINDIR%\syswow64\158
Удаляет следующие файлы
- %TEMP%\m2zboaru\b.dll.zgx.tmp
- %TEMP%\m2zboaru\p.dll.zgx.tmp
- %TEMP%\m2zboaru\s.exe.tmp
- %TEMP%\m2zboaru\set.tmp
- %TEMP%\m2zboaru\_uninstall
Перемещает следующие файлы
- %TEMP%\m2zboaru\b.dll.zgx в %TEMP%\m2zboaru\b.dll
- %TEMP%\m2zboaru\p.dll.zgx в %TEMP%\m2zboaru\p.dll
- %TEMP%\m2zboaru\p.dll в %WINDIR%\syswow64\c545.dll
- %TEMP%\m2zboaru\2.dll в %WINDIR%\0019.bmp
- %TEMP%\m2zboaru\b.dll в %WINDIR%\syswow64\6099.dll
- %TEMP%\m2zboaru\3.dll в %WINDIR%\a65c.exe
- %TEMP%\m2zboaru\s.exe в %WINDIR%\syswow64\99c6.exe
- %TEMP%\m2zboaru\4.dll в %WINDIR%\5556.txt
Сетевая активность
UDP
- DNS ASK ya###.com.cn
- DNS ASK 88#.#43call.cn
- DNS ASK 12#.##0304123.cn
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\99c6.exe' -i
- '%WINDIR%\syswow64\99c6.exe' -s
- '%WINDIR%\syswow64\99c6.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\009c.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\09j5.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\9caj.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\615x.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\155f.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\55ka.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\61cn.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\0n5n.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\0a55.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\a694.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\150c.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "<SYSTEM32>\6099.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "<SYSTEM32>\6099.dll"
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\c545.dll, Always (со скрытым окном)
