Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- 'C:\users\public\libraries\<Имя файла>.js.pif'
- 'C:\users\public\libraries\cpmtzqzl.pif'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
следующие пользовательские процессы:
- cpmtzqzl.pif
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [HKLM\Software\WOW6432Node\Miranda]
- [HKCU\Software\Microsoft\MSNMessenger]
- [HKCU\Software\Microsoft\IdentityCRL]
- [HKCU\Software\Google\Google Talk\Accounts]
- [HKCU\Software\Microsoft\Internet Account Manager\Accounts]
- [HKCU\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [HKCU\Software\America Online\AOL Instant Messenger (TM)\CurrentVersion\Users]
- [HKCU\Software\America Online\AIM6\Passwords]
- [HKCU\Software\AIM\AIMPRO]
- [HKCU\Software\Yahoo\Pager]
- [HKLM\Software\WOW6432Node\Mirabilis\ICQ\NewOwners]
- [HKCU\Software\Mirabilis\ICQ\NewOwners]
- [HKCU\Software\Paltalk]
- [HKCU\Software\Microsoft\Windows Live Mail]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\libraries\amsi.dll
- C:\users\public\libraries\advapi32.dll
- C:\users\public\libraries\bcrypt.dll
- C:\users\public\libraries\<Имя файла>.js.pif
- %ALLUSERSPROFILE%\8293.cmd
- %ALLUSERSPROFILE%\hwew.cmd
- %ALLUSERSPROFILE%\10683.cmd
- C:\users\public\libraries\lzqztmpc.url
- %ALLUSERSPROFILE%\744.cmd
- C:\users\public\libraries\cpmtzqzl.pif
- nul
- C:\users\public\alpha.pif
- %TEMP%\thb2d6.tmp
- %TEMP%\thb325.tmp
- %TEMP%\thb45e.tmp
- %TEMP%\bhvbf88.tmp
- %TEMP%\thcd56.tmp
- %TEMP%\thcd86.tmp
- %TEMP%\thcf8a.tmp
- %TEMP%\djet
- %TEMP%\bhvdc57.tmp
- %TEMP%\frdykr
- %WINDIR%\softwaredistribution\sls\9482f4b4-e343-43b6-b170-9a65bc822c77\sls.cab
- %WINDIR%\softwaredistribution\sls\9482f4b4-e343-43b6-b170-9a65bc822c77\tmpee77.tmp
- %WINDIR%\softwaredistribution\sls\855e8a7c-ecb4-4ca3-b045-1dfa50104289\sls.cab
- %WINDIR%\softwaredistribution\sls\855e8a7c-ecb4-4ca3-b045-1dfa50104289\tmpfb3a.tmp
- %WINDIR%\softwaredistribution\sls\8b24b027-1dee-babb-9a95-3517dfb9c552\sls.cab
- %WINDIR%\softwaredistribution\sls\8b24b027-1dee-babb-9a95-3517dfb9c552\tmp201.tmp
Перемещает следующие файлы
- C:\users\public\libraries\<Имя файла>.js.pif в C:\users\public\libraries\lzqztmpc.pif
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
Сетевая активность
Подключается к
- 'ch##########frankokiteamaekeibeku.ydns.eu':20909
- 'ge###ugin.net':80
TCP
Запросы HTTP GET
- http://ge###ugin.net/json.gp
Другие
- 'ch##########frankokiteamaekeibeku.ydns.eu':20909
UDP
- DNS ASK ch##########frankokiteamaekeibeku.ydns.eu
- DNS ASK ge###ugin.net
- DNS ASK settings-win.data.microsoft.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c C:\\ProgramData\\8293.cmd (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c C:\\ProgramData\\10683.cmd (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c C:\\ProgramData\\744.cmd (со скрытым окном)
- '%WINDIR%\syswow64\esentutl.exe' /y C:\\Windows\\System32\\cmd.exe /d C:\\Users\\Public\\alpha.pif /o
- '%WINDIR%\syswow64\svchost.exe' /stext "%TEMP%\djet"
- '%WINDIR%\syswow64\svchost.exe' /stext "%TEMP%\odrllpd"
- '%WINDIR%\syswow64\svchost.exe' /stext "%TEMP%\yfwemhovqqo"
- '%WINDIR%\syswow64\svchost.exe' /stext "%TEMP%\frdykr"
- '%WINDIR%\syswow64\svchost.exe' /stext "%TEMP%\qlirkjodb"
- '%WINDIR%\syswow64\svchost.exe' /stext "%TEMP%\sfvklczxptnf"
