Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\plugin\pskill.exe' -t /accepteula GbpSv.exe
- '<SYSTEM32>\plugin\pskill.exe' -t -accepteula GbpSv.exe
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula <SYSTEM32>\plugin\plu.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula sc delete GbpSv
- '<SYSTEM32>\plugin\movefile.exe' -r
- '<SYSTEM32>\plugin\movefile.exe' -s -accepteula sc delete GbpSv
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula sc delete GbpSv
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbiehcef.dll" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\GbpSv.exe" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbpdist.dll" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "<SYSTEM32>\GbpKm.sys" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%WINDIR%\Downloaded Program Files\uni.gpc" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%WINDIR%\Downloaded Program Files\gbiehuni.dll" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "<DRIVERS>\GbpKm.sys" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' /s <SYSTEM32>\plugin\atualiza.reg
- '<SYSTEM32>\plugin\pskill.exe' -t -accepteula winlogon.exe
- '<SYSTEM32>\plugin\pskill.exe' -t /accepteula explorer.exe
- '<SYSTEM32>\plugin\pskill.exe' -t -accepteula explorer.exe
- '<SYSTEM32>\plugin\pskill.exe' -t /accepteula winlogon.exe
- '<SYSTEM32>\plugin\movefile.exe' /pid=3344
- '<SYSTEM32>\plugin\movefile.exe' /pid=3164
- '<SYSTEM32>\plugin\SetACL.exe' -t -accepteula winlogon.exe
- '<SYSTEM32>\plugin\movefile.exe' /pid=760
- '<SYSTEM32>\plugin\movefile.exe' /pid=3684
- '<SYSTEM32>\plugin\movefile.exe' /pid=388
- '<SYSTEM32>\plugin\movefile.exe' /pid=3108
- '<SYSTEM32>\plugin\movefile.exe' /pid=4068
- '<SYSTEM32>\plugin\movefile.exe' /s <SYSTEM32>\plugin\eula.reg
- '<SYSTEM32>\plugin\movefile.exe' /pid=3804
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbieh.gmd" "" -accepteula
- '<SYSTEM32>\plugin\SetACL.exe' -on "hklm\SYSTEM\CurrentControlSet\Services\GbpSv" -ot reg -actn setowner -ownr "n:S-1-5-32-544;s:y" -actn ace -ace "n:S-1-5-32-544;p:full;s:y;m:set" -actn ace -ace "n:S-1-5-18;p:full;s:y;m:revoke" -actn ace -ace "n:S-1-5-18;p:full;s:y;m:deny" -silent
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula <SYSTEM32>\plugin\parte3.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula <SYSTEM32>\plugin\parte3.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula <SYSTEM32>\plugin\parte4.cmd
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\abn.gpc" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\bb.gpc" "" /accepteula
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula <SYSTEM32>\plugin\parte4.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula <SYSTEM32>\plugin\parte1.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula <SYSTEM32>\plugin\setreg.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula <SYSTEM32>\plugin\setreg.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula <SYSTEM32>\plugin\parte1.cmd
- '%WINDIR%\PSEXESVC.EXE'
- '<SYSTEM32>\plugin\psexec.exe' -s /accepteula <SYSTEM32>\plugin\parte2.cmd
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula <SYSTEM32>\plugin\parte2.cmd
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\cef.gpc" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%WINDIR%\Downloaded Program Files\uni.gpc" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%WINDIR%\Downloaded Program Files\gbiehuni.dll" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "<DRIVERS>\GbpKm.sys" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\bb.gpc" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbieh.dll" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\cef.gpc" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\abn.gpc" "" -accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbpdist.dll" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbieh.gmd" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbieh.dll" "" /accepteula
- '<SYSTEM32>\plugin\psexec.exe' -s -accepteula <SYSTEM32>\plugin\plu.cmd
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\gbiehcef.dll" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "<SYSTEM32>\GbpKm.sys" "" /accepteula
- '<SYSTEM32>\plugin\movefile.exe' "%PROGRAM_FILES%\GbPlugin\GbpSv.exe" "" /accepteula
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s <SYSTEM32>\plugin\atualiza.reg
- '<SYSTEM32>\shutdown.exe' -r
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\plugin\atualiza.cmd
- '%WINDIR%\regedit.exe' /s <SYSTEM32>\plugin\eula.reg
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\alg.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\ctfmon.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\services.exe
- <SYSTEM32>\winlogon.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\plugin\parte3.cmd
- <SYSTEM32>\plugin\parte4.cmd
- <SYSTEM32>\plugin\parte1.cmd
- <SYSTEM32>\plugin\parte2.cmd
- %WINDIR%\PSEXESVC.EXE
- %APPDATA%\plugin.dll.tmz
- <SYSTEM32>\plugin\atualiza.cmd
- <SYSTEM32>\plugin\setreg.cmd
- <SYSTEM32>\plugin\plu.cmd
- <SYSTEM32>\plugin\SetACL.exe
- <SYSTEM32>\plugin\atualiza.reg
- %APPDATA%\sign.tmz
- %WINDIR%\remove.tmp
- <SYSTEM32>\plugin\psexec.exe
- <SYSTEM32>\plugin\pskill.exe
- <SYSTEM32>\plugin\eula.reg
- <SYSTEM32>\plugin\movefile.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
