Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Windows' = 'c:\users\public\appData\backup.vbs'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\iexplorer.vbs
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Roaming\we\dlvbs\nir.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Roaming\we\dlvbs\foci.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Roaming\we\dlvbs\winkl.vbs"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\Roaming\we\dlvbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Roaming\we\dlvbs\Dstarter.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Roaming\we\dlvbs\explorer.vbs"
- '<SYSTEM32>\mode.com' "C:\Users\Public\Roaming\we\dlvbs\nir.vbs"
- '<SYSTEM32>\ping.exe' "C:\Users\Public\Roaming\we\dlvbs\Dstarter.vbs"
- '<SYSTEM32>\wscript.exe' /pid=568
- '<SYSTEM32>\ping.exe' -n 8 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\explorer"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\Roaming"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\AppData"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\Roaming\we"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\sahel.bat""
- '<SYSTEM32>\mode.com' con: cols=14 lines=1
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Roaming\we\maker.vbs"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\foci"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\winkl"
- '<SYSTEM32>\attrib.exe' +h +s +r C:\Users\Public\Roaming\we\send.dll
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\Roaming\we\maker.bat" "
- '<SYSTEM32>\reg.exe' ADD "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "Microsoft Windows" /t REG_SZ /d "c:\users\public\appData\backup.vbs" /f
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\ping.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\Users\Public\Roaming\we\starter.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\foci[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\starter[1].bat
- C:\Users\Public\Roaming\we\dlvbs\foci.vbs
- C:\Users\Public\Roaming\we\dlvbs\explorer.vbs
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winkl[1].exe
- C:\Users\Public\winkl\winkl.exe
- C:\Users\Public\explorer\explorer.bat
- C:\Users\Public\foci\foci.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\explorer[1].bat
- C:\Users\Public\AppData\BackUp.vbs
- %HOMEPATH%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iexplorer.vbs
- C:\Users\Public\Roaming\we\maker.vbs
- %TEMP%\sahel.bat
- C:\Users\Public\Roaming\we\maker.bat
- C:\Users\Public\Roaming\we\dlvbs\winkl.vbs
- C:\Users\Public\Roaming\we\dlvbs\nir.vbs
- C:\Users\Public\Roaming\we\dlvbs\Dstarter.vbs
- C:\Users\Public\Roaming\we\send.vbs
- C:\Users\Public\Roaming\we\starter.vbs
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Users\Public\Roaming\we\send.dll
Удаляет следующие файлы:
- C:\Users\Public\winkl\winkl.exe
- C:\Users\Public\foci\foci.exe
- C:\Users\Public\Roaming\we\starter.bat
Перемещает следующие файлы:
- C:\Users\Public\Roaming\we\send.vbs в C:\Users\Public\Roaming\we\send.dll
Сетевая активность:
Подключается к:
- 'localhost':1062
- 'localhost':1063
- 'localhost':1064
- 'localhost':1061
- 'localhost':1058
- 'localhost':1059
- 'localhost':1060
- 'localhost':1069
- 'localhost':1070
- 'localhost':1071
- 'localhost':1068
- 'localhost':1065
- 'localhost':1066
- 'localhost':1067
- 'localhost':1057
- 'localhost':1043
- 'localhost':1045
- 'localhost':1048
- 'j4##48.tk':80
- 'localhost':1036
- 'localhost':1038
- 'localhost':1040
- 'localhost':1054
- 'localhost':1055
- 'localhost':1056
- 'localhost':1053
- 'localhost':1049
- 'localhost':1050
- 'localhost':1052
TCP:
Запросы HTTP GET:
- j4##48.tk/Logger.Vbs/DL/explorer.bat
- j4##48.tk/Logger.Vbs/DL/winkl.exe
- j4##48.tk/Logger.Vbs/DL/starter.bat
- j4##48.tk/Logger.Vbs/DL/foci.exe
UDP:
- DNS ASK j4##48.tk
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
