Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'X29S' = '<Полный путь к файлу>'
Вредоносные функции
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\x29s.vbs
- %TEMP%\content\4300-4296-cscript.exe-14-05-52-776.dump
- %TEMP%\content\4300-4296-cscript.exe-14-05-52-784.dump
- %TEMP%\content\4556-3912-cscript.exe-14-05-54-888.dump
- %TEMP%\content\4556-3912-cscript.exe-14-05-54-894.dump
- %TEMP%\content\4592-5032-cscript.exe-14-05-57-133.dump
- %TEMP%\content\388-2876-cscript.exe-14-05-58-580.dump
- %TEMP%\content\4808-3672-cscript.exe-14-05-59-865.dump
- %TEMP%\content\3708-2016-cscript.exe-14-06-01-325.dump
- %TEMP%\content\4800-3116-cscript.exe-14-06-02-943.dump
- %TEMP%\content\3036-948-cscript.exe-14-06-04-610.dump
- %TEMP%\content\4380-2776-cscript.exe-14-06-06-786.dump
- %TEMP%\content\2868-4612-cscript.exe-14-06-08-892.dump
- %TEMP%\content\3224-3104-cscript.exe-14-06-10-501.dump
- %TEMP%\content\2396-3596-cscript.exe-14-06-12-686.dump
- %TEMP%\content\2396-3596-cscript.exe-14-06-12-724.dump
- %TEMP%\content\2780-1760-cscript.exe-14-06-15-169.dump
- %TEMP%\content\2120-1812-cscript.exe-14-06-17-233.dump
- %TEMP%\content\3856-3940-cscript.exe-14-06-19-427.dump
- %TEMP%\content\3812-4772-cscript.exe-14-06-22-249.dump
- %TEMP%\content\3812-4772-cscript.exe-14-06-24-479.dump
- %TEMP%\content\3992-1800-cscript.exe-14-06-27-754.dump
- %TEMP%\content\3132-3352-cscript.exe-14-06-32-261.dump
- %TEMP%\content\3132-3352-cscript.exe-14-06-32-264.dump
- %TEMP%\content\824-3160-cscript.exe-14-06-34-666.dump
- %TEMP%\content\824-3160-cscript.exe-14-06-34-668.dump
- %TEMP%\content\248-3744-cscript.exe-14-06-36-924.dump
- %TEMP%\content\4128-400-cscript.exe-14-06-39-389.dump
- %TEMP%\content\4128-400-cscript.exe-14-06-39-391.dump
- %TEMP%\content\2724-1164-cscript.exe-14-06-42-693.dump
- %TEMP%\content\2116-2664-cscript.exe-14-06-45-409.dump
- %TEMP%\content\2116-2664-cscript.exe-14-06-45-417.dump
- %TEMP%\content\3400-1980-cscript.exe-14-06-47-715.dump
- %TEMP%\content\2856-4300-cscript.exe-14-06-49-731.dump
- %TEMP%\content\1484-1812-cscript.exe-14-06-51-151.dump
- %TEMP%\content\3932-3924-cscript.exe-14-06-54-129.dump
- %TEMP%\content\3936-3832-cscript.exe-14-06-55-842.dump
- %TEMP%\content\560-2304-cscript.exe-14-06-58-116.dump
- %TEMP%\content\1016-2016-cscript.exe-14-07-00-233.dump
- %TEMP%\content\3116-3584-cscript.exe-14-07-02-520.dump
- %TEMP%\content\4880-68-cscript.exe-14-07-05-298.dump
- %TEMP%\content\2776-1212-cscript.exe-14-07-07-200.dump
- %TEMP%\content\2872-4892-cscript.exe-14-07-09-197.dump
- %TEMP%\content\3312-3592-cscript.exe-14-07-11-088.dump
- %TEMP%\content\4572-2652-cscript.exe-14-07-12-803.dump
- %TEMP%\content\5048-3180-cscript.exe-14-07-14-473.dump
- %TEMP%\content\5048-3180-cscript.exe-14-07-14-481.dump
- %TEMP%\content\2728-340-cscript.exe-14-07-16-145.dump
- %TEMP%\content\1692-4376-cscript.exe-14-07-17-703.dump
- %TEMP%\content\1284-5016-cscript.exe-14-07-19-364.dump
- %TEMP%\content\4404-2212-cscript.exe-14-07-20-983.dump
- %TEMP%\content\3512-4040-cscript.exe-14-07-22-575.dump
- %TEMP%\content\1016-4784-cscript.exe-14-07-24-262.dump
- %TEMP%\content\1916-3584-cscript.exe-14-07-25-877.dump
- %TEMP%\content\248-1776-cscript.exe-14-07-27-382.dump
- %TEMP%\content\3752-4512-cscript.exe-14-07-28-907.dump
- %TEMP%\content\3752-4512-cscript.exe-14-07-28-915.dump
- %TEMP%\content\4804-1588-cscript.exe-14-07-30-628.dump
- %TEMP%\content\2208-4412-cscript.exe-14-07-32-365.dump
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\x29s.vbs
Подменяет следующие файлы
- %WINDIR%\temp\x29s.vbs
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cscript.exe' %WINDIR%\Temp\x29s.vbs
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cscript %WINDIR%\Temp\x29s.vbs
- '<SYSTEM32>\cscript.exe' %WINDIR%\Temp\x29s.vbs
- '<Полный путь к файлу>' (со скрытым окном)
