Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pwo6' = '%APPDATA%\pwo6\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\pwo6\svchost.exe'
- '%TEMP%\_MEI29602\bin\winlogon.exe' -SOCKSPort 33156 -ControlPort 33157 -DataDirectory "%APPDATA%\pwo6"
- '%TEMP%\omxybrpn.exe'
- '%TEMP%\84819.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_MEI29602\win32com.shell.shell.pyd
- %TEMP%\_MEI29602\_multiprocessing.pyd
- %TEMP%\_MEI29602\win32api.pyd
- %TEMP%\_MEI29602\win32trace.pyd
- %TEMP%\_MEI29602\_ctypes.pyd
- %TEMP%\_MEI29602\win32ui.pyd
- %TEMP%\_MEI29602\pyexpat.pyd
- %TEMP%\_MEI29602\msgpack._unpacker.pyd
- %TEMP%\_MEI29602\msgpack._packer.pyd
- %TEMP%\_MEI29602\pywintypes27.dll
- %TEMP%\_MEI29602\_psutil_mswindows.pyd
- %TEMP%\_MEI29602\_socket.pyd
- %TEMP%\_MEI29602\pythoncom27.dll
- %TEMP%\_MEI29602\pyHook._cpyHook.pyd
- %TEMP%\_MEI29602\_ssl.pyd
- %TEMP%\_MEI29602\msvcm90.dll
- %TEMP%\_MEI29602\python27.dll
- %TEMP%\_MEI29602\_win32sysloader.pyd
- %TEMP%\_MEI29602\msvcp90.dll
- %APPDATA%\pwo6\svchost.exe
- %TEMP%\_MEI29602\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI29602\msvcr90.dll
- %TEMP%\_MEI29602\win32file.pyd
- %TEMP%\_MEI29602\_hashlib.pyd
- %TEMP%\_MEI29602\bz2.pyd
- %TEMP%\_MEI29602\win32gui.pyd
- %TEMP%\_MEI29602\win32pipe.pyd
- %TEMP%\_MEI29602\select.pyd
- %TEMP%\_MEI29602\unicodedata.pyd
- %TEMP%\_MEI29602\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI29602\bin\pthreadGC2.dll
- %TEMP%\_MEI29602\bin\scrypt130511.cl
- %TEMP%\_MEI29602\bin\ssleay32.dll
- %TEMP%\_MEI29602\bin\poclbm130302.cl
- %TEMP%\_MEI29602\bin\minerd.dll
- %TEMP%\_MEI29602\bin\OpenCL.dll
- %TEMP%\_MEI29602\bin\phatk121016.cl
- %TEMP%\tmpnk4pwb\gen_py\__init__.py
- %TEMP%\tmpnk4pwb\gen_py\dicts.dat
- %APPDATA%\pwo6\state.tmp
- %TEMP%\wrgnpw
- %TEMP%\_MEI29602\bin\winlogon.exe
- %TEMP%\_MEI29602\bin\zlib1.dll
- %TEMP%\_MEI29602\pwo6.exe.manifest
- %TEMP%\_MEI29602\bin\libidn-11.dll
- %TEMP%\_MEI29602\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI29602\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI29602\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI29602\mfcm90u.dll
- %TEMP%\_MEI29602\mfc90.dll
- %TEMP%\_MEI29602\mfc90u.dll
- %TEMP%\_MEI29602\mfcm90.dll
- %TEMP%\_MEI29602\bin\explorer.exe
- %TEMP%\_MEI29602\bin\libcurl.dll
- %TEMP%\_MEI29602\bin\libeay32.dll
- %TEMP%\_MEI29602\bin\diakgcn121016.cl
- %TEMP%\_MEI29602\include\pyconfig.h
- %TEMP%\_MEI29602\bin\csrss.exe
- %TEMP%\_MEI29602\bin\diablo130302.cl
- %TEMP%\_MEI28522\win32trace.pyd
- %TEMP%\_MEI28522\win32com.shell.shell.pyd
- %TEMP%\_MEI28522\_multiprocessing.pyd
- %TEMP%\_MEI28522\pyexpat.pyd
- %TEMP%\_MEI28522\_ssl.pyd
- %TEMP%\_MEI28522\_ctypes.pyd
- %TEMP%\_MEI28522\win32ui.pyd
- %TEMP%\_MEI28522\_psutil_mswindows.pyd
- %TEMP%\_MEI28522\msgpack._unpacker.pyd
- %TEMP%\_MEI28522\msgpack._packer.pyd
- %TEMP%\_MEI28522\pyHook._cpyHook.pyd
- %TEMP%\_MEI28522\win32api.pyd
- %TEMP%\_MEI28522\_socket.pyd
- %TEMP%\_MEI28522\pythoncom27.dll
- %TEMP%\_MEI28522\bz2.pyd
- %TEMP%\_MEI28522\msvcp90.dll
- %TEMP%\_MEI28522\msvcm90.dll
- %TEMP%\_MEI28522\python27.dll
- %TEMP%\_MEI28522\msvcr90.dll
- %TEMP%\omxybrpn.exe
- %TEMP%\84819.exe
- %TEMP%\_MEI28522\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28522\win32gui.pyd
- %TEMP%\_MEI28522\win32file.pyd
- %TEMP%\_MEI28522\_hashlib.pyd
- %TEMP%\_MEI28522\unicodedata.pyd
- %TEMP%\_MEI28522\_win32sysloader.pyd
- %TEMP%\_MEI28522\win32pipe.pyd
- %TEMP%\_MEI28522\select.pyd
- %TEMP%\_MEI28522\pywintypes27.dll
- %TEMP%\_MEI28522\bin\poclbm130302.cl
- %TEMP%\_MEI28522\bin\pthreadGC2.dll
- %TEMP%\_MEI28522\bin\scrypt130511.cl
- %TEMP%\_MEI28522\bin\phatk121016.cl
- %TEMP%\_MEI28522\bin\libidn-11.dll
- %TEMP%\_MEI28522\bin\minerd.dll
- %TEMP%\_MEI28522\bin\OpenCL.dll
- %TEMP%\t3syrm
- %TEMP%\tmpmy85bm\gen_py\__init__.py
- %TEMP%\tmpmy85bm\gen_py\dicts.dat
- %TEMP%\_MEI28522\pwo6.exe.manifest
- %TEMP%\_MEI28522\bin\ssleay32.dll
- %TEMP%\_MEI28522\bin\winlogon.exe
- %TEMP%\_MEI28522\bin\zlib1.dll
- %TEMP%\_MEI28522\bin\libeay32.dll
- %TEMP%\_MEI28522\mfcm90u.dll
- %TEMP%\_MEI28522\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28522\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28522\mfcm90.dll
- %TEMP%\_MEI28522\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28522\mfc90.dll
- %TEMP%\_MEI28522\mfc90u.dll
- %TEMP%\_MEI28522\bin\diakgcn121016.cl
- %TEMP%\_MEI28522\bin\explorer.exe
- %TEMP%\_MEI28522\bin\libcurl.dll
- %TEMP%\_MEI28522\bin\diablo130302.cl
- %TEMP%\_MEI28522\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28522\include\pyconfig.h
- %TEMP%\_MEI28522\bin\csrss.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\pwo6\svchost.exe
Удаляет следующие файлы:
- %TEMP%\_MEI28522\python27.dll
- %TEMP%\_MEI28522\pyHook._cpyHook.pyd
- %TEMP%\_MEI28522\pyexpat.pyd
- %TEMP%\_MEI28522\pythoncom27.dll
- %TEMP%\_MEI28522\unicodedata.pyd
- %TEMP%\_MEI28522\select.pyd
- %TEMP%\_MEI28522\pywintypes27.dll
- %TEMP%\_MEI28522\msgpack._unpacker.pyd
- %TEMP%\_MEI28522\msgpack._packer.pyd
- %TEMP%\_MEI28522\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28522\msvcm90.dll
- %TEMP%\_MEI28522\pwo6.exe.manifest
- %TEMP%\_MEI28522\msvcr90.dll
- %TEMP%\_MEI28522\msvcp90.dll
- %TEMP%\_MEI28522\_multiprocessing.pyd
- %TEMP%\_MEI28522\_hashlib.pyd
- %TEMP%\_MEI28522\_ctypes.pyd
- %TEMP%\_MEI28522\_psutil_mswindows.pyd
- %TEMP%\_MEI28522\_win32sysloader.pyd
- %TEMP%\_MEI28522\_ssl.pyd
- %TEMP%\_MEI28522\_socket.pyd
- %TEMP%\_MEI28522\win32file.pyd
- %TEMP%\_MEI28522\win32com.shell.shell.pyd
- %TEMP%\_MEI28522\win32api.pyd
- %TEMP%\_MEI28522\win32gui.pyd
- %TEMP%\_MEI28522\win32ui.pyd
- %TEMP%\_MEI28522\win32trace.pyd
- %TEMP%\_MEI28522\win32pipe.pyd
- %TEMP%\_MEI28522\bin\minerd.dll
- %TEMP%\_MEI28522\bin\libidn-11.dll
- %TEMP%\_MEI28522\bin\libeay32.dll
- %TEMP%\_MEI28522\bin\OpenCL.dll
- %TEMP%\_MEI28522\bin\pthreadGC2.dll
- %TEMP%\_MEI28522\bin\poclbm130302.cl
- %TEMP%\_MEI28522\bin\phatk121016.cl
- %TEMP%\_MEI28522\bin\csrss.exe
- %TEMP%\wrgnpw
- %TEMP%\t3syrm
- %TEMP%\_MEI28522\bin\diablo130302.cl
- %TEMP%\_MEI28522\bin\libcurl.dll
- %TEMP%\_MEI28522\bin\explorer.exe
- %TEMP%\_MEI28522\bin\diakgcn121016.cl
- %TEMP%\_MEI28522\mfc90.dll
- %TEMP%\_MEI28522\include\pyconfig.h
- %TEMP%\_MEI28522\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28522\mfc90u.dll
- %TEMP%\_MEI28522\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28522\mfcm90u.dll
- %TEMP%\_MEI28522\mfcm90.dll
- %TEMP%\_MEI28522\bin\winlogon.exe
- %TEMP%\_MEI28522\bin\ssleay32.dll
- %TEMP%\_MEI28522\bin\scrypt130511.cl
- %TEMP%\_MEI28522\bin\zlib1.dll
- %TEMP%\_MEI28522\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28522\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28522\bz2.pyd
Перемещает следующие файлы:
- %APPDATA%\pwo6\state.tmp в %APPDATA%\pwo6\state
Сетевая активность:
Подключается к:
- '17#.#5.193.9':80
- 'localhost':1036
- 'localhost':33156
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
