Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Microsoft\WinU\~tspzlzi.exe' -source=main -d=0
- '<LS_APPDATA>\Microsoft\WinU\~cmwgpot.exe'
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /Create /XML <LS_APPDATA>\Microsoft\WinU\~pwtwnpz.xml /tn WIN-statsAdmin
- '<SYSTEM32>\cmd.exe' /c %TEMP%\scratch.bat
- '<SYSTEM32>\ping.exe' -n 0 127.0.0.1
- '<SYSTEM32>\schtasks.exe' /query /FO CSV /tn WIN-statsSystem
- '<SYSTEM32>\schtasks.exe' /Create /XML <LS_APPDATA>\Microsoft\WinU\~kkwtsgd.xml /tn WIN-statsSystem
- '<SYSTEM32>\schtasks.exe' /query /FO CSV /tn WIN-statsAdmin
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\systemTaskSet[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\systemTaskSet[1].php
- <LS_APPDATA>\Microsoft\WinU\~pwtwnpz.xml
- <LS_APPDATA>\Microsoft\WinU\WIN-statsAdmin.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\winUSet[2].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winUSet[2].php
- <LS_APPDATA>\Microsoft\WinU\Wmain\base_conf.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\systemTaskSet[2].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\conf[1]
- %TEMP%\scratch.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\systemTaskSet[1].php
- <LS_APPDATA>\Microsoft\WinU\WIN-statsSystem.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winUSet[1].php
- %TEMP%\aut1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\winUSet[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\winUSet[1].php
- <LS_APPDATA>\Microsoft\WinU\~kkwtsgd.xml
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\systemTaskSet[1].php
- %TEMP%\aut2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\winUSet[2].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\winUSet[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\time_range[1]
Удаляет следующие файлы:
- %TEMP%\aut2.tmp
- <LS_APPDATA>\Microsoft\WinU\~pwtwnpz.xml
- %TEMP%\aut1.tmp
- <LS_APPDATA>\Microsoft\WinU\~kkwtsgd.xml
Перемещает следующие файлы:
- <LS_APPDATA>\Microsoft\WinU\WIN-statsAdmin.exe в <LS_APPDATA>\Microsoft\WinU\~tspzlzi.exe
- <LS_APPDATA>\Microsoft\WinU\WIN-statsSystem.exe в <LS_APPDATA>\Microsoft\WinU\~cmwgpot.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'di#####ssl.deeal.net':443
- 'localhost':1037
- 'wi##.#ecureddl.com':80
TCP:
Запросы HTTP GET:
- wi##.#ecureddl.com/stats/winUSet.php?in#########################
- wi##.#ecureddl.com/stats/systemTaskSet.php?br################
- wi##.#ecureddl.com/stats/systemTaskSet.php?mu###############
- wi##.#ecureddl.com/stats/systemTaskSet.php?pa#############
- wi##.#ecureddl.com/canal/conf
- wi##.#ecureddl.com/stats/systemTaskSet.php?os###############
- wi##.#ecureddl.com/stats/winUSet.php?in##########################
- wi##.#ecureddl.com/stats/winUSet.php?de############################
- wi##.#ecureddl.com/stats/winUSet.php?ma#######
- wi##.#ecureddl.com/stats/systemTaskSet.php?ad###################
- wi##.#ecureddl.com/stats/winUSet.php?de###########################
- wi##.#ecureddl.com/stats/configuration/time_range
UDP:
- DNS ASK di#####ssl.deeal.net
- DNS ASK wi##.#ecureddl.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
