Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pwo6' = '%APPDATA%\pwo6\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\_MEI29042\bin\winlogon.exe' -SOCKSPort 33156 -ControlPort 33157 -DataDirectory "%APPDATA%\pwo6"
- '%APPDATA%\pwo6\svchost.exe'
- '%TEMP%\ovbdcukx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_MEI29042\_multiprocessing.pyd
- %TEMP%\_MEI29042\win32api.pyd
- %TEMP%\_MEI29042\_socket.pyd
- %TEMP%\_MEI29042\win32com.shell.shell.pyd
- %TEMP%\_MEI29042\win32ui.pyd
- %TEMP%\_MEI29042\pyexpat.pyd
- %TEMP%\_MEI29042\win32trace.pyd
- %TEMP%\_MEI29042\msgpack._packer.pyd
- %TEMP%\_MEI29042\pywintypes27.dll
- %TEMP%\_MEI29042\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI29042\msgpack._unpacker.pyd
- %TEMP%\_MEI29042\pythoncom27.dll
- %TEMP%\_MEI29042\pyHook._cpyHook.pyd
- %TEMP%\_MEI29042\_psutil_mswindows.pyd
- %TEMP%\_MEI29042\_ctypes.pyd
- %TEMP%\_MEI29042\python27.dll
- %TEMP%\_MEI29042\_win32sysloader.pyd
- %TEMP%\_MEI29042\win32pipe.pyd
- %TEMP%\_MEI29042\msvcm90.dll
- %TEMP%\_MEI29042\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI29042\msvcr90.dll
- %TEMP%\_MEI29042\msvcp90.dll
- %TEMP%\_MEI29042\_hashlib.pyd
- %TEMP%\_MEI29042\bz2.pyd
- %TEMP%\_MEI29042\_ssl.pyd
- %TEMP%\_MEI29042\win32file.pyd
- %TEMP%\_MEI29042\select.pyd
- %TEMP%\_MEI29042\unicodedata.pyd
- %TEMP%\_MEI29042\win32gui.pyd
- %TEMP%\_MEI29042\bin\pthreadGC2.dll
- %TEMP%\_MEI29042\bin\scrypt130511.cl
- %TEMP%\_MEI29042\bin\ssleay32.dll
- %TEMP%\_MEI29042\bin\poclbm130302.cl
- %TEMP%\_MEI29042\bin\minerd.dll
- %TEMP%\_MEI29042\bin\OpenCL.dll
- %TEMP%\_MEI29042\bin\phatk121016.cl
- %TEMP%\tmphgnhva\gen_py\__init__.py
- %TEMP%\tmphgnhva\gen_py\dicts.dat
- %APPDATA%\pwo6\state.tmp
- %TEMP%\xqt2u9
- %TEMP%\_MEI29042\bin\winlogon.exe
- %TEMP%\_MEI29042\bin\zlib1.dll
- %TEMP%\_MEI29042\pwo6.exe.manifest
- %TEMP%\_MEI29042\bin\libidn-11.dll
- %TEMP%\_MEI29042\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI29042\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI29042\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI29042\mfcm90u.dll
- %TEMP%\_MEI29042\mfc90.dll
- %TEMP%\_MEI29042\mfc90u.dll
- %TEMP%\_MEI29042\mfcm90.dll
- %TEMP%\_MEI29042\bin\explorer.exe
- %TEMP%\_MEI29042\bin\libcurl.dll
- %TEMP%\_MEI29042\bin\libeay32.dll
- %TEMP%\_MEI29042\bin\diakgcn121016.cl
- %TEMP%\_MEI29042\include\pyconfig.h
- %TEMP%\_MEI29042\bin\csrss.exe
- %TEMP%\_MEI29042\bin\diablo130302.cl
- %APPDATA%\pwo6\svchost.exe
- %TEMP%\_MEI28002\win32com.shell.shell.pyd
- %TEMP%\_MEI28002\_multiprocessing.pyd
- %TEMP%\_MEI28002\win32api.pyd
- %TEMP%\_MEI28002\win32trace.pyd
- %TEMP%\_MEI28002\_ctypes.pyd
- %TEMP%\_MEI28002\win32ui.pyd
- %TEMP%\_MEI28002\pyexpat.pyd
- %TEMP%\_MEI28002\msgpack._unpacker.pyd
- %TEMP%\_MEI28002\msgpack._packer.pyd
- %TEMP%\_MEI28002\pywintypes27.dll
- %TEMP%\_MEI28002\_psutil_mswindows.pyd
- %TEMP%\_MEI28002\_socket.pyd
- %TEMP%\_MEI28002\pythoncom27.dll
- %TEMP%\_MEI28002\pyHook._cpyHook.pyd
- %TEMP%\_MEI28002\_ssl.pyd
- %TEMP%\_MEI28002\msvcm90.dll
- %TEMP%\_MEI28002\python27.dll
- %TEMP%\_MEI28002\_win32sysloader.pyd
- %TEMP%\_MEI28002\msvcp90.dll
- %TEMP%\ovbdcukx.exe
- %TEMP%\_MEI28002\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28002\msvcr90.dll
- %TEMP%\_MEI28002\win32file.pyd
- %TEMP%\_MEI28002\_hashlib.pyd
- %TEMP%\_MEI28002\bz2.pyd
- %TEMP%\_MEI28002\win32gui.pyd
- %TEMP%\_MEI28002\win32pipe.pyd
- %TEMP%\_MEI28002\select.pyd
- %TEMP%\_MEI28002\unicodedata.pyd
- %TEMP%\_MEI28002\bin\poclbm130302.cl
- %TEMP%\_MEI28002\bin\pthreadGC2.dll
- %TEMP%\_MEI28002\bin\scrypt130511.cl
- %TEMP%\_MEI28002\bin\phatk121016.cl
- %TEMP%\_MEI28002\bin\libidn-11.dll
- %TEMP%\_MEI28002\bin\minerd.dll
- %TEMP%\_MEI28002\bin\OpenCL.dll
- %TEMP%\3a9xe1
- %TEMP%\tmpgrsn9o\gen_py\__init__.py
- %TEMP%\tmpgrsn9o\gen_py\dicts.dat
- %TEMP%\_MEI28002\pwo6.exe.manifest
- %TEMP%\_MEI28002\bin\ssleay32.dll
- %TEMP%\_MEI28002\bin\winlogon.exe
- %TEMP%\_MEI28002\bin\zlib1.dll
- %TEMP%\_MEI28002\bin\libeay32.dll
- %TEMP%\_MEI28002\mfcm90u.dll
- %TEMP%\_MEI28002\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28002\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28002\mfcm90.dll
- %TEMP%\_MEI28002\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28002\mfc90.dll
- %TEMP%\_MEI28002\mfc90u.dll
- %TEMP%\_MEI28002\bin\diakgcn121016.cl
- %TEMP%\_MEI28002\bin\explorer.exe
- %TEMP%\_MEI28002\bin\libcurl.dll
- %TEMP%\_MEI28002\bin\diablo130302.cl
- %TEMP%\_MEI28002\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28002\include\pyconfig.h
- %TEMP%\_MEI28002\bin\csrss.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\pwo6\svchost.exe
Удаляет следующие файлы:
- %TEMP%\_MEI28002\python27.dll
- %TEMP%\_MEI28002\pyHook._cpyHook.pyd
- %TEMP%\_MEI28002\pyexpat.pyd
- %TEMP%\_MEI28002\pythoncom27.dll
- %TEMP%\_MEI28002\unicodedata.pyd
- %TEMP%\_MEI28002\select.pyd
- %TEMP%\_MEI28002\pywintypes27.dll
- %TEMP%\_MEI28002\msgpack._unpacker.pyd
- %TEMP%\_MEI28002\msgpack._packer.pyd
- %TEMP%\_MEI28002\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28002\msvcm90.dll
- %TEMP%\_MEI28002\pwo6.exe.manifest
- %TEMP%\_MEI28002\msvcr90.dll
- %TEMP%\_MEI28002\msvcp90.dll
- %TEMP%\_MEI28002\_multiprocessing.pyd
- %TEMP%\_MEI28002\_hashlib.pyd
- %TEMP%\_MEI28002\_ctypes.pyd
- %TEMP%\_MEI28002\_psutil_mswindows.pyd
- %TEMP%\_MEI28002\_win32sysloader.pyd
- %TEMP%\_MEI28002\_ssl.pyd
- %TEMP%\_MEI28002\_socket.pyd
- %TEMP%\_MEI28002\win32file.pyd
- %TEMP%\_MEI28002\win32com.shell.shell.pyd
- %TEMP%\_MEI28002\win32api.pyd
- %TEMP%\_MEI28002\win32gui.pyd
- %TEMP%\_MEI28002\win32ui.pyd
- %TEMP%\_MEI28002\win32trace.pyd
- %TEMP%\_MEI28002\win32pipe.pyd
- %TEMP%\_MEI28002\bin\minerd.dll
- %TEMP%\_MEI28002\bin\libidn-11.dll
- %TEMP%\_MEI28002\bin\libeay32.dll
- %TEMP%\_MEI28002\bin\OpenCL.dll
- %TEMP%\_MEI28002\bin\pthreadGC2.dll
- %TEMP%\_MEI28002\bin\poclbm130302.cl
- %TEMP%\_MEI28002\bin\phatk121016.cl
- %TEMP%\_MEI28002\bin\csrss.exe
- %TEMP%\xqt2u9
- %TEMP%\3a9xe1
- %TEMP%\_MEI28002\bin\diablo130302.cl
- %TEMP%\_MEI28002\bin\libcurl.dll
- %TEMP%\_MEI28002\bin\explorer.exe
- %TEMP%\_MEI28002\bin\diakgcn121016.cl
- %TEMP%\_MEI28002\mfc90.dll
- %TEMP%\_MEI28002\include\pyconfig.h
- %TEMP%\_MEI28002\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28002\mfc90u.dll
- %TEMP%\_MEI28002\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28002\mfcm90u.dll
- %TEMP%\_MEI28002\mfcm90.dll
- %TEMP%\_MEI28002\bin\winlogon.exe
- %TEMP%\_MEI28002\bin\ssleay32.dll
- %TEMP%\_MEI28002\bin\scrypt130511.cl
- %TEMP%\_MEI28002\bin\zlib1.dll
- %TEMP%\_MEI28002\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28002\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28002\bz2.pyd
Перемещает следующие файлы:
- %APPDATA%\pwo6\state.tmp в %APPDATA%\pwo6\state
Сетевая активность:
Подключается к:
- '76.##.17.194':9090
- '86.#9.21.38':443
- 'localhost':33156
- 'localhost':1036
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
