Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock Panda
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Panda
- '%TEMP%\ProjectZero.exe' /pid=2808
- '%TEMP%\dll2.exe'
- '%TEMP%\dll112.exe'
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Outpost -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock AVG14
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Outpost
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Panda -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock Outpost
- '%TEMP%\ProjectZero.exe' /pid=2852
- '%TEMP%\dll8.exe'
- '%TEMP%\ProjectZero.exe'
- '%TEMP%\ProjectZero.exe' /pid=3324
- '%TEMP%\ProjectZero.exe' /pid=3264
- '%TEMP%\dll4.exe'
- '%TEMP%\dll3.exe'
- '%TEMP%\dll5.exe'
- '%TEMP%\dll7.exe'
- '%TEMP%\dll6.exe'
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill AVG14
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Avast -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock Avira
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Avast
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill KIS13 -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock Avast
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill ESET
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill ESET -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock ESET
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Avira
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill Avira -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill ZoneAlarm
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill ZoneAlarm -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill BitDefender
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill BitDefender -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock ZoneAlarm
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock BitDefender
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill KIS13
- '%TEMP%\ProjectZero.exe' AbsoluteZero -rtkill AVG14 -shimlock
- '%TEMP%\ProjectZero.exe' AbsoluteZero -pagelock KIS13
- '%TEMP%\dll8.exe' (загружен из сети Интернет)
- '%TEMP%\ProjectZero.exe' (загружен из сети Интернет)
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
- '%TEMP%\dll112.exe' (загружен из сети Интернет)
- '%TEMP%\dll4.exe' (загружен из сети Интернет)
- '%TEMP%\dll3.exe' (загружен из сети Интернет)
- '%TEMP%\dll2.exe' (загружен из сети Интернет)
- '%TEMP%\dll7.exe' (загружен из сети Интернет)
- '%TEMP%\dll6.exe' (загружен из сети Интернет)
- '%TEMP%\dll5.exe' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\dll9.exe
- %TEMP%\dll8.exe
- %TEMP%\dll7.exe
- %TEMP%\dll0.exe
- %TEMP%\dll13.exe
- %TEMP%\dll12.exe
- %TEMP%\dll11.exe
- %TEMP%\dll2.exe
- %TEMP%\dll112.exe
- %TEMP%\ProjectZero.exe
- %TEMP%\dll3.exe
- %TEMP%\dll6.exe
- %TEMP%\dll5.exe
- %TEMP%\dll4.exe
Сетевая активность:
Подключается к:
- 'fa###dating.fo':80
- 'www.sp###sshop.com':80
TCP:
Запросы HTTP GET:
- fa###dating.fo/partner/a9.jpg
- fa###dating.fo/partner/a8.jpg
- fa###dating.fo/partner/a7.jpg
- fa###dating.fo/partner/10.jpg
- fa###dating.fo/partner/a13.jpg
- fa###dating.fo/partner/a12.jpg
- fa###dating.fo/partner/11.jpg
- fa###dating.fo/partner/a2.jpg
- fa###dating.fo/partner/a1.jpg
- www.sp###sshop.com/themes/ProjectZero.exe
- fa###dating.fo/partner/a3.jpg
- fa###dating.fo/partner/a6.jpg
- fa###dating.fo/partner/a5.jpg
- fa###dating.fo/partner/a4.jpg
UDP:
- DNS ASK fa###dating.fo
- DNS ASK www.sp###sshop.com
