Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '7X6p9khQXNLOVYL.exe' = '%WINDIR%\ProgramTemp\7X6p9khQXNLOVYL.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\systask_7003
- <SYSTEM32>\tasks\sysmonitor_7003
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\EnswmTdmqEoVpt] 'ImagePath' = '%TEMP%\EnswmTdmqEoVpt'
- [HKLM\SYSTEM\CurrentControlSet\Services\EnswmTdmqEoVpt] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\HabEmRKbzrEXlIdHnqh] 'ImagePath' = '%WINDIR%\TEMP\HabEmRKbzrEXlIdHnqh'
- [HKLM\SYSTEM\CurrentControlSet\Services\HabEmRKbzrEXlIdHnqh] 'Start' = '00000002'
Создает следующие сервисы
- 'EnswmTdmqEoVpt' %TEMP%\EnswmTdmqEoVpt
- 'HabEmRKbzrEXlIdHnqh' %WINDIR%\TEMP\HabEmRKbzrEXlIdHnqh
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\wscript.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\programtemp\release.zip
- %WINDIR%\programtemp\klibcef.dll
- %WINDIR%\programtemp\libcef.dll
- %WINDIR%\programtemp\nvidia geforce experience.exe
- %WINDIR%\programtemp\wlanapi.dll
- %WINDIR%\nvidia geforce assistant.exe
- %WINDIR%\programtemp\d3d.zip
- %WINDIR%\programtemp\d3dcompiler_43.dll
- %WINDIR%\programtemp\d3dcompiler_47.dll
- %WINDIR%\system\d3dcompiler_47.dll
- %WINDIR%\system\wlanapi.dll
- %TEMP%\enswmtdmqeovpt
- %WINDIR%\programtemp\guardian_7003.bat
- %WINDIR%\programtemp\launcher_7003.vbs
- %WINDIR%\temp\habemrkbzrexlidhnqh
- %WINDIR%\programtemp\7x6p9khqxnlovyl.exe
- %WINDIR%\temp\process.pid
- %WINDIR%\temp\content\2008-2664-wscript.exe-16-33-08-335.dump
- %WINDIR%\temp\content\2008-2664-wscript.exe-16-33-10-248.dump
- nul
- %WINDIR%\temp\content\3632-2276-wscript.exe-16-34-02-401.dump
- %WINDIR%\temp\content\3632-2276-wscript.exe-16-34-03-710.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\nvidia geforce assistant.exe
- %WINDIR%\programtemp\guardian_7003.bat
- %WINDIR%\programtemp\launcher_7003.vbs
- %WINDIR%\programtemp\nvidia geforce experience.exe
Удаляет файлы, которые сам же создал
- %WINDIR%\programtemp\release.zip
- %WINDIR%\temp\process.pid
- %TEMP%\enswmtdmqeovpt
- %WINDIR%\temp\habemrkbzrexlidhnqh
Перемещает следующие файлы
- %WINDIR%\programtemp\klibcef.dll в %WINDIR%\libcef.dll
Самоудаляется.
Сетевая активность
Подключается к
- '18#.#6.89.234':443
- '18#.#6.89.234':80
Другое
Создает и запускает на исполнение
- '%WINDIR%\nvidia geforce assistant.exe'
- '<SYSTEM32>\wscript.exe' "%WINDIR%\ProgramTemp\launcher_7003.vbs"
- '%WINDIR%\programtemp\nvidia geforce experience.exe'
- '%WINDIR%\programtemp\7x6p9khqxnlovyl.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAJwA= (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "SysTask_7003" /tr "\"%WINDIR%\NVIDIA GeForce Assistant.exe\"" /sc onlogon /ru SYSTEM /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "SysMonitor_7003" /tr "\"<SYSTEM32>\wscript.exe\" \"%WINDIR%\ProgramTemp\launcher_7003.vbs\"" /sc minute /mo 1 /ru SYSTEM /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /run /tn "SysTask_7003" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /run /tn "SysMonitor_7003" (со скрытым окном)
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\cmd.exe' /c attrib +h +s %WINDIR%\ProgramTemp\guardian_7003.bat (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h +s %WINDIR%\ProgramTemp\guardian_7003.bat
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\ProgramTemp\guardian_7003.bat (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ping 127.0.0.1 -n 2 > Nul & Del "<Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- '<SYSTEM32>\schtasks.exe' /query /tn SysTask_7003
