Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- <SYSTEM32>\tasks\iexplore__-pu
- %APPDATA%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- <SYSTEM32>\tasks\firefox__-pu
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\iexplore__-pu] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\iexplore__-pu] 'ImagePath' = 'C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\firefox__-pu] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\firefox__-pu] 'ImagePath' = 'C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\iexplore__-pu] 'ImagePath' = 'C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe'
Создает следующие сервисы
- 'iexplore__-pu' C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe
- 'firefox__-pu' C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- 'iexplore__-pu' C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM iexplore__.exe /F
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=out action=allow program="C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=in action=allow program="C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe" enable=yes
- '<SYSTEM32>\taskkill.exe' /IM firefox__.exe /F
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=out action=allow program="C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=in action=allow program="C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=out action=allow program="C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=in action=allow program="C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes
Изменения в файловой системе
Создает следующие файлы
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\rcxc1f9.tmp
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\rcxc286.tmp
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\rcxc2f5.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxd97b.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxda18.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxda96.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxf0fe.tmp
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxf16c.tmp
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxf1ea.tmp
- %ALLUSERSPROFILE%\exec_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\payload\monitor.zip
- %ALLUSERSPROFILE%\exec_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\payload\commander32.dll
- %ALLUSERSPROFILE%\exec_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\payload\commander64.dll
- %ALLUSERSPROFILE%\exec_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\cfg
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxfb4.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx1023.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx10a1.tmp
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\payload\publisher.zip
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\payload\publisher32.dll
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\payload\publisher64.dll
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\cfg
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx30cc.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx313a.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx31a9.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx467a.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx46d9.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx4737.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx6252.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx62c0.tmp
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx632f.tmp
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\iexplore__-pu
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- <SYSTEM32>\tasks\firefox__-pu
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\firefox___.lnk
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\payload\publisher.zip
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\payload\publisher32.dll
- %ALLUSERSPROFILE%\prox_-zcztvhocjjuqhaddo0br7yvtmuejjy66ezyt2qe9fw\proxy\payload\publisher64.dll
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe
Перемещает следующие файлы
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\rcxc1f9.tmp в C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\rcxc286.tmp в C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe
- C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\rcxc2f5.tmp в C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxd97b.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxda18.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcxda96.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxf0fe.tmp в C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxf16c.tmp в C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\rcxf1ea.tmp в C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx1023.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx10a1.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx313a.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx31a9.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx46d9.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx4737.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx62c0.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\rcx632f.tmp в C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
Подменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\iexplore___.lnk
- C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\firefox___.lnk
Сетевая активность
Подключается к
- 'ap#.#ithub.com':443
- 'oc##.#ectigo.com':80
- 're#########ets.githubusercontent.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?1e##############
Другие
- 'ap#.#ithub.com':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
UDP
- DNS ASK ap#.#ithub.com
- DNS ASK oc##.#ectigo.com
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\net.exe' start (со скрытым окном)
- '<SYSTEM32>\net1.exe' start
- '<SYSTEM32>\sc.exe' delete iexplore__-pu (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "iexplore__-pu" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "iexplore__-pu" binPath= "C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe" start= auto type= own (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore__-pu" /tr "C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe" /sc onlogon /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete firefox__-pu (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "firefox__-pu" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "firefox__-pu" binPath= "C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" start= auto type= own (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox__-pu" /tr "C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" /sc onlogon /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "iexplore__-pu" binPath= "C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" start= auto type= own (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore__-pu" /tr "C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" /sc onlogon /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' query "firefox__-pu" (со скрытым окном)
- '<SYSTEM32>\sc.exe' query "iexplore__-pu" (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM iexplore__.exe /F (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=out action=allow program="C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe" enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=in action=allow program="C:\51200437\4254ed6b974270c984db5307dac954f17eac79d461d08fca8fd2d32e71b67397\iexplore__.exe" enable=yes (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM firefox__.exe /F (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=out action=allow program="C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="firefox__-pu-out" dir=in action=allow program="C:\51200437\fccc51e18021551cb6993f91aede91ac96224b12b7cf190824fc9e79aa05f085\firefox__.exe" enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=out action=allow program="C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="iexplore__-pu-out" dir=in action=allow program="C:\51200437\10930ebd231310976546667f6bae61cc8f5ce4e30e9034a0c523f8180f6dd9a7\iexplore__.exe" enable=yes (со скрытым окном)
