Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Services' = '%TEMP%\8rsmvkpy.exe'
Создает или изменяет следующие файлы
- %WINDIR%\tasks\jusched.job
- <SYSTEM32>\tasks\jusched
- <SYSTEM32>\tasks\3dc416618c1b1f16
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cxqlj8xc.exe
- %TEMP%\8cq2wbjb.exe
- %TEMP%\48bfcq67.exe
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %TEMP%\9q200t5q.exe
- %TEMP%\is-m89cfjwtr4.tmp\8cq2wbjb.tmp
- %APPDATA%\3dc416618c1b1f16\3dc416618c1b1f16.exe
- %TEMP%\08e25196df\jusched.exe
- %TEMP%\4w1ubdrn.exe
- %TEMP%\is-mx6ctl2xau.tmp\_isetup\_setup64.tmp
- %TEMP%\is-mx6ctl2xau.tmp\_isetup\_isdecmp.dll
- %TEMP%\8rsmvkpy.exe
- %TEMP%\eyqpxoyr.exe
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\screenshot.jpg
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\software_info.txt
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\info.txt
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\windows_info.txt
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}.zip
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\cxqlj8xc.exe
- %TEMP%\8cq2wbjb.exe
- %TEMP%\48bfcq67.exe
- %TEMP%\9q200t5q.exe
- %APPDATA%\3dc416618c1b1f16\3dc416618c1b1f16.exe
- %TEMP%\4w1ubdrn.exe
- %TEMP%\8rsmvkpy.exe
- %TEMP%\eyqpxoyr.exe
Удаляет файлы, которые сам же создал
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\info.txt
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\screenshot.jpg
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\software_info.txt
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}\windows_info.txt
- %ALLUSERSPROFILE%\{9c50a940-584e-11ef-bc93-806e6f6e6963}.zip
Сетевая активность
Подключается к
- '19#.#51.107.130':80
- '19#.#51.107.104':80
- '62.##.226.159':80
UDP
- DNS ASK ce###########cegikmoqsuwy02468acegikmoqsuwy.com
Другое
Создает и запускает на исполнение
- '%TEMP%\cxqlj8xc.exe'
- '%TEMP%\8cq2wbjb.exe'
- '%TEMP%\48bfcq67.exe'
- '%TEMP%\is-m89cfjwtr4.tmp\8cq2wbjb.tmp' /SL5="$6014A,3978993,842240,%TEMP%\8cq2wbjb.exe"
- '%TEMP%\9q200t5q.exe'
- '%TEMP%\4w1ubdrn.exe'
- '%TEMP%\08e25196df\jusched.exe'
- '%TEMP%\8rsmvkpy.exe'
- '%TEMP%\eyqpxoyr.exe'
- '%APPDATA%\3dc416618c1b1f16\3dc416618c1b1f16.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /query /tn "3DC416618C1B1F16" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /tn "3DC416618C1B1F16" /tr "%APPDATA%\3DC416618C1B1F16\3DC416618C1B1F16.exe" (со скрытым окном)
- '%WINDIR%\syswow64\svchost.exe' netsvcs
- '%TEMP%\cxqlj8xc.exe' (со скрытым окном)
- '%TEMP%\8cq2wbjb.exe' (со скрытым окном)
- '%TEMP%\48bfcq67.exe' (со скрытым окном)
- '%TEMP%\9q200t5q.exe' (со скрытым окном)
- '%TEMP%\4w1ubdrn.exe' (со скрытым окном)
- '%TEMP%\08e25196df\jusched.exe' (со скрытым окном)
- '%TEMP%\8rsmvkpy.exe' (со скрытым окном)
- '%TEMP%\eyqpxoyr.exe' (со скрытым окном)
