Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"%ProgramFiles%\Windows Media Player\Visualizations\lsm.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"%ProgramFiles%\Windows Media Player\Visualizations\lsm.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe", "%ProgramFiles%\Windows Media...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'services' = '"%ProgramFiles(x86)%\Opera\Assets\services.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'services' = '"%ProgramFiles(x86)%\Opera\Assets\services.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles%\Windows Mail\en-US\iexplore.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles%\Windows Mail\en-US\iexplore.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Resources\1033\firefox.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Resources\1033\firefox.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Containerref' = '"C:\SurrogateproviderRef\Containerref.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Containerref' = '"C:\SurrogateproviderRef\Containerref.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefoxf
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\lsml
- <SYSTEM32>\tasks\lsm
- <SYSTEM32>\tasks\servicess
- <SYSTEM32>\tasks\services
- <SYSTEM32>\tasks\iexplorei
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\containerrefc
- <SYSTEM32>\tasks\containerref
Изменения в файловой системе
Создает следующие файлы
- C:\surrogateproviderref\containerref.exe
- %TEMP%\fwib6lguuc
- %HOMEPATH%\desktop\ycqgazht.log
- %TEMP%\nriahht4w6.bat
- %TEMP%\oq9bqct0se
- %HOMEPATH%\desktop\zzhbufvz.log
- nul
- %TEMP%\8ctuaf7mia.bat
- %TEMP%\rfrv5jwzmu
- %TEMP%\mneuib2s.out
- %TEMP%\mneuib2s.cmdline
- %TEMP%\mneuib2s.0.cs
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\0fc223bdacedc3
- C:\msocache\all users\{90140000-0019-0409-1000-0000000ff1ce}-c\firefox.exe
- %ProgramFiles%\windows media player\visualizations\101b941d020240
- %ProgramFiles%\windows media player\visualizations\lsm.exe
- %ProgramFiles(x86)%\opera\assets\c5b4cb5e9653cc
- %ProgramFiles(x86)%\opera\assets\services.exe
- %ProgramFiles%\windows mail\en-us\9db6e019d4f04e
- %ProgramFiles%\windows mail\en-us\iexplore.exe
- %ProgramFiles(x86)%\microsoft analysis services\as oledb\10\resources\1033\0fc223bdacedc3
- %ProgramFiles(x86)%\microsoft analysis services\as oledb\10\resources\1033\firefox.exe
- C:\surrogateproviderref\605e30552af311
- %HOMEPATH%\desktop\lqszaosu.log
- C:\surrogateproviderref\673kxvph48ds5gkj6zmoxcxdochkhj.bat
- C:\surrogateproviderref\rhq5cqm2rrnrogsuihfoifsdikz7w5kqu1bdddt81eb5nryrdyacav.vbe
- %TEMP%\wuqrhcdfsv.bat
- %HOMEPATH%\desktop\mlzscgoy.log
Удаляет следующие файлы
- %TEMP%\mneuib2s.0.cs
- %TEMP%\mneuib2s.cmdline
- %TEMP%\mneuib2s.out
- %TEMP%\rfrv5jwzmu
- %TEMP%\oq9bqct0se
- %TEMP%\fwib6lguuc
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe
Сетевая активность
Подключается к
- '36#####m.nyanyash.ru':80
TCP
Запросы HTTP POST
- http://36#####m.nyanyash.ru/videorequestdbGeneratortrackdleTemporary.php
UDP
- DNS ASK 36#####m.nyanyash.ru
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\SurrogateproviderRef\rhQ5CQm2RRNROGsUiHfOIfSDIkZ7W5kqu1bdDdt81eb5NryrDYaCAV.vbe"
- 'C:\surrogateproviderref\containerref.exe'
- '%ProgramFiles%\windows mail\en-us\iexplore.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\SurrogateproviderRef\673kXvpH48Ds5GKJ6ZMoxcxDOChKHJ.bat" " (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\WuqrHCDFSV.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\NrIaHhT4W6.bat" (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 10 localhost
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\8CTUaf7MiA.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "ContainerrefC" /sc MINUTE /mo 8 /tr "'C:\SurrogateproviderRef\Containerref.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Containerref" /sc ONLOGON /tr "'C:\SurrogateproviderRef\Containerref.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "ContainerrefC" /sc MINUTE /mo 9 /tr "'C:\SurrogateproviderRef\Containerref.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Resources\1033\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Resources\1033\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 12 /tr "'%ProgramFiles(x86)%\Microsoft Analysis Services\AS OLEDB\10\Resources\1033\firefox.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\KtA3LkY0CV.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 11 /tr "'%ProgramFiles%\Windows Mail\en-US\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Windows Mail\en-US\iexplore.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Opera\Assets\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Opera\Assets\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 7 /tr "'%ProgramFiles(x86)%\Opera\Assets\services.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 12 /tr "'%ProgramFiles%\Windows Media Player\Visualizations\lsm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'%ProgramFiles%\Windows Media Player\Visualizations\lsm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsml" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\Windows Media Player\Visualizations\lsm.exe'" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\mneuib2s.cmdline" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 6 /tr "'C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 12 /tr "'C:\MSOCache\All Users\{90140000-0019-0409-1000-0000000FF1CE}-C\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles%\Windows Mail\en-US\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
