Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System Services' = '%APPDATA%\ivchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ivchost.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESE.tmp" "%TEMP%\CSC5.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8.tmp" "%TEMP%\CSC2.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9.tmp" "%TEMP%\CSC6.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD.tmp" "%TEMP%\CSC4.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\buyxkh8r.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA.tmp" "%TEMP%\CSC3.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESC.tmp" "%TEMP%\CSC1.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESB.tmp" "%TEMP%\CSC7.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\izhsp1kq.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-fos3t6_.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ss2vdu_e.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\id5ekjhl.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\3xlb8cxb.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\qb30zqev.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\xhqp54cq.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RESE.tmp
- %TEMP%\RESC.tmp
- %TEMP%\RES8.tmp
- %TEMP%\RESA.tmp
- %TEMP%\RESD.tmp
- %TEMP%\CSC7.tmp
- %TEMP%\CSC5.tmp
- %TEMP%\CSC1.tmp
- %TEMP%\CSC3.tmp
- %TEMP%\CSC6.tmp
- %TEMP%\CSC4.tmp
- %TEMP%\RESB.tmp
- %TEMP%\izhsp1kq.dll
- %TEMP%\id5ekjhl.dll
- %TEMP%\xhqp54cq.dll
- %TEMP%\3xlb8cxb.dll
- %TEMP%\ss2vdu_e.dll
- %TEMP%\-fos3t6_.dll
- %TEMP%\buyxkh8r.0.cs
- %TEMP%\RES9.tmp
- %TEMP%\buyxkh8r.cmdline
- %TEMP%\qb30zqev.dll
- %TEMP%\buyxkh8r.out
- %TEMP%\CSC2.tmp
- %TEMP%\izhsp1kq.0.cs
- %TEMP%\-fos3t6_.out
- %TEMP%\izhsp1kq.cmdline
- %TEMP%\id5ekjhl.0.cs
- %TEMP%\izhsp1kq.out
- %TEMP%\ss2vdu_e.out
- %TEMP%\ss2vdu_e.0.cs
- %APPDATA%\ivchost.exe
- %TEMP%\-fos3t6_.0.cs
- %TEMP%\ss2vdu_e.cmdline
- %TEMP%\-fos3t6_.cmdline
- %TEMP%\xhqp54cq.0.cs
- %TEMP%\qb30zqev.out
- %APPDATA%\dump.jpeg
- %TEMP%\3xlb8cxb.0.cs
- %TEMP%\3xlb8cxb.out
- %TEMP%\3xlb8cxb.cmdline
- %TEMP%\qb30zqev.cmdline
- %TEMP%\xhqp54cq.cmdline
- %TEMP%\id5ekjhl.cmdline
- %TEMP%\id5ekjhl.out
- %TEMP%\qb30zqev.0.cs
- %TEMP%\xhqp54cq.out
Удаляет следующие файлы:
- %TEMP%\CSC2.tmp
- %TEMP%\RES8.tmp
- %TEMP%\CSC3.tmp
- %TEMP%\RESB.tmp
- %TEMP%\CSC6.tmp
- %TEMP%\RES9.tmp
- %TEMP%\CSC7.tmp
- %TEMP%\RESA.tmp
- %TEMP%\CSC1.tmp
- %TEMP%\RESC.tmp
- %APPDATA%\dump.jpeg
- %TEMP%\RESE.tmp
- %TEMP%\CSC4.tmp
- %TEMP%\RESD.tmp
- %TEMP%\CSC5.tmp
Сетевая активность:
Подключается к:
- 'sm##.gmail.com':587
UDP:
- DNS ASK sm##.gmail.com
