Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '{f98f6f94-f336-456f-8cc9-68c86a4a47e5}' = 'AppData\System.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{f98f6f94-f336-456f-8cc9-68c86a4a47e5}] 'StubPath' = 'AppData\System.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,AppData\System.exe,'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'p3TLLi6JbbODu3fateDBDOWMQg2oiB' = '"%APPDATA%\System.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'p3TLLi6JbbODu3fateDBDOWMQg2oiB' = '"%APPDATA%\System.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = 'AppData\System.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\p3TLLi6JbbODu3fateDBDOWMQg2oiB.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\System.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\System.exe' = '%APPDATA%\System.exe:*:Enabled:System.exe'
Создает и запускает на исполнение:
- '%APPDATA%\System.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\d2154yvt.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\oqsb_rab.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\zavthajh.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\mioz0ebd.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jhn3akrw.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\x0qqy06q.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\qns49n8a.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\qgchmn08.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tgh-1npf.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fihbukmc.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\3t-r4971.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fwpfp_bc.cmdline"
- '<SYSTEM32>\ping.exe' 0
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\System.exe" "System.exe" ENABLE
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\hkbhu_ig.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\nx6mwftk.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\89agqvd7.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\eq2dqgta.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\anzluias.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\oqsb_rab.cmdline
- %TEMP%\oqsb_rab.0.vb
- %TEMP%\d2154yvt.out
- %TEMP%\jhn3akrw.cmdline
- %TEMP%\jhn3akrw.0.vb
- %TEMP%\oqsb_rab.out
- %TEMP%\d2154yvt.cmdline
- %TEMP%\mioz0ebd.0.vb
- %TEMP%\zavthajh.out
- %TEMP%\zavthajh.cmdline
- %TEMP%\d2154yvt.0.vb
- %TEMP%\mioz0ebd.out
- %TEMP%\mioz0ebd.cmdline
- %TEMP%\x0qqy06q.out
- %TEMP%\x0qqy06q.cmdline
- %TEMP%\x0qqy06q.0.vb
- %TEMP%\qns49n8a.out
- %TEMP%\qns49n8a.cmdline
- %TEMP%\qns49n8a.0.vb
- %TEMP%\tgh-1npf.out
- %TEMP%\qgchmn08.cmdline
- %TEMP%\qgchmn08.0.vb
- %TEMP%\jhn3akrw.out
- %TEMP%\tgh-1npf.cmdline
- %TEMP%\tgh-1npf.0.vb
- %TEMP%\qgchmn08.out
- %TEMP%\hkbhu_ig.out
- %TEMP%\hkbhu_ig.cmdline
- %TEMP%\hkbhu_ig.0.vb
- %TEMP%\eq2dqgta.out
- %TEMP%\eq2dqgta.cmdline
- %TEMP%\eq2dqgta.0.vb
- %TEMP%\fwpfp_bc.out
- %TEMP%\3t-r4971.cmdline
- %TEMP%\3t-r4971.0.vb
- %APPDATA%\System.exe
- %TEMP%\fwpfp_bc.cmdline
- %TEMP%\fwpfp_bc.0.vb
- %TEMP%\3t-r4971.out
- %TEMP%\fihbukmc.0.vb
- %TEMP%\89agqvd7.out
- %TEMP%\89agqvd7.cmdline
- %TEMP%\zavthajh.0.vb
- %TEMP%\fihbukmc.out
- %TEMP%\fihbukmc.cmdline
- %TEMP%\89agqvd7.0.vb
- %TEMP%\anzluias.out
- %TEMP%\anzluias.cmdline
- %TEMP%\anzluias.0.vb
- %TEMP%\nx6mwftk.out
- %TEMP%\nx6mwftk.cmdline
- %TEMP%\nx6mwftk.0.vb
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\System.exe
Удаляет следующие файлы:
- %TEMP%\d2154yvt.0.vb
- %TEMP%\d2154yvt.cmdline
- %TEMP%\d2154yvt.out
- %TEMP%\oqsb_rab.out
- %TEMP%\oqsb_rab.0.vb
- %TEMP%\oqsb_rab.cmdline
- %TEMP%\zavthajh.cmdline
- %TEMP%\zavthajh.0.vb
- %TEMP%\zavthajh.out
- %TEMP%\mioz0ebd.0.vb
- %TEMP%\mioz0ebd.out
- %TEMP%\mioz0ebd.cmdline
- %TEMP%\tgh-1npf.0.vb
- %TEMP%\tgh-1npf.out
- %TEMP%\tgh-1npf.cmdline
- %TEMP%\x0qqy06q.0.vb
- %TEMP%\x0qqy06q.cmdline
- %TEMP%\x0qqy06q.out
- %TEMP%\jhn3akrw.cmdline
- %TEMP%\jhn3akrw.0.vb
- %TEMP%\jhn3akrw.out
- %TEMP%\qgchmn08.cmdline
- %TEMP%\qgchmn08.0.vb
- %TEMP%\qgchmn08.out
- %TEMP%\fihbukmc.out
- %TEMP%\hkbhu_ig.cmdline
- %TEMP%\hkbhu_ig.out
- %TEMP%\fwpfp_bc.cmdline
- %TEMP%\eq2dqgta.cmdline
- %TEMP%\eq2dqgta.out
- %TEMP%\hkbhu_ig.0.vb
- %TEMP%\3t-r4971.cmdline
- %TEMP%\3t-r4971.out
- %APPDATA%\System.exe
- %TEMP%\fwpfp_bc.out
- %TEMP%\fwpfp_bc.0.vb
- %TEMP%\3t-r4971.0.vb
- %TEMP%\89agqvd7.0.vb
- %TEMP%\89agqvd7.cmdline
- %TEMP%\nx6mwftk.cmdline
- %TEMP%\fihbukmc.0.vb
- %TEMP%\fihbukmc.cmdline
- %TEMP%\89agqvd7.out
- %TEMP%\anzluias.0.vb
- %TEMP%\anzluias.out
- %TEMP%\eq2dqgta.0.vb
- %TEMP%\nx6mwftk.0.vb
- %TEMP%\nx6mwftk.out
- %TEMP%\anzluias.cmdline
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1993
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
