Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '{f98f6f94-f336-456f-8cc9-68c86a4a47e5}' = 'AppData\System.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{f98f6f94-f336-456f-8cc9-68c86a4a47e5}] 'StubPath' = 'AppData\System.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,AppData\System.exe,'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'p3TLLi6JbbODu3fateDBDOWMQg2oiB' = '"%APPDATA%\System.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'p3TLLi6JbbODu3fateDBDOWMQg2oiB' = '"%APPDATA%\System.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = 'AppData\System.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\p3TLLi6JbbODu3fateDBDOWMQg2oiB.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\System.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\System.exe' = '%APPDATA%\System.exe:*:Enabled:System.exe'
Создает и запускает на исполнение:
- '%APPDATA%\System.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tm0mcbwr.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\2buze7di.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\isa_bjut.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\bss-pbpu.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\w4zuxto2.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\rykemwlx.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\u0vqtgia.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fy0ztq4c.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\-bve8i8v.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\azowbmt2.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vxbbln6k.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\aydihsjs.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\casvv6pb.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7v0gkuee.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\rxbtfjqp.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\tm0yg3nh.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\njjpyayp.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ubalyjmv.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\c9k9tj5i.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\adomei0r.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fwiunmyk.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\ov2tclfd.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\vxb0ex0p.cmdline"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\System.exe" "System.exe" ENABLE
- '<SYSTEM32>\ping.exe' 0
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\d5zye8zm.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\myqbdt-h.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\13zwevql.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\fxwnvk5y.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\dawbqebo.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\qbm9dfl-.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\_a-6aec-.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\pqvwldeq.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\cuzje83y.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\z8yks8e0.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\6lotjqt_.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tm0mcbwr.0.vb
- %TEMP%\tm0mcbwr.cmdline
- %TEMP%\tm0mcbwr.out
- %TEMP%\2buze7di.0.vb
- %TEMP%\2buze7di.cmdline
- %TEMP%\2buze7di.out
- %TEMP%\bss-pbpu.0.vb
- %TEMP%\isa_bjut.cmdline
- %TEMP%\isa_bjut.out
- %TEMP%\tm0yg3nh.0.vb
- %TEMP%\bss-pbpu.cmdline
- %TEMP%\bss-pbpu.out
- %TEMP%\isa_bjut.0.vb
- %TEMP%\rykemwlx.out
- %TEMP%\-bve8i8v.0.vb
- %TEMP%\-bve8i8v.cmdline
- %TEMP%\u0vqtgia.out
- %TEMP%\rykemwlx.0.vb
- %TEMP%\rykemwlx.cmdline
- %TEMP%\-bve8i8v.out
- %TEMP%\w4zuxto2.0.vb
- %TEMP%\w4zuxto2.cmdline
- %TEMP%\w4zuxto2.out
- %TEMP%\fy0ztq4c.0.vb
- %TEMP%\fy0ztq4c.cmdline
- %TEMP%\fy0ztq4c.out
- %TEMP%\vxbbln6k.out
- %TEMP%\azowbmt2.0.vb
- %TEMP%\azowbmt2.cmdline
- %TEMP%\7v0gkuee.out
- %TEMP%\vxbbln6k.0.vb
- %TEMP%\vxbbln6k.cmdline
- %TEMP%\azowbmt2.out
- %TEMP%\aydihsjs.0.vb
- %TEMP%\aydihsjs.cmdline
- %TEMP%\aydihsjs.out
- %TEMP%\casvv6pb.0.vb
- %TEMP%\casvv6pb.cmdline
- %TEMP%\casvv6pb.out
- %TEMP%\rxbtfjqp.cmdline
- %TEMP%\rxbtfjqp.out
- %TEMP%\ubalyjmv.0.vb
- %TEMP%\tm0yg3nh.cmdline
- %TEMP%\tm0yg3nh.out
- %TEMP%\rxbtfjqp.0.vb
- %TEMP%\ubalyjmv.cmdline
- %TEMP%\njjpyayp.out
- %TEMP%\7v0gkuee.0.vb
- %TEMP%\7v0gkuee.cmdline
- %TEMP%\ubalyjmv.out
- %TEMP%\njjpyayp.0.vb
- %TEMP%\njjpyayp.cmdline
- %TEMP%\u0vqtgia.cmdline
- %TEMP%\c9k9tj5i.cmdline
- %TEMP%\c9k9tj5i.out
- %TEMP%\ov2tclfd.0.vb
- %TEMP%\adomei0r.cmdline
- %TEMP%\adomei0r.out
- %TEMP%\c9k9tj5i.0.vb
- %TEMP%\ov2tclfd.cmdline
- %TEMP%\fwiunmyk.out
- %TEMP%\cuzje83y.0.vb
- %TEMP%\cuzje83y.cmdline
- %TEMP%\ov2tclfd.out
- %TEMP%\fwiunmyk.0.vb
- %TEMP%\fwiunmyk.cmdline
- %TEMP%\myqbdt-h.0.vb
- %TEMP%\myqbdt-h.cmdline
- %TEMP%\myqbdt-h.out
- %APPDATA%\System.exe
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %TEMP%\d5zye8zm.0.vb
- %TEMP%\vxb0ex0p.cmdline
- %TEMP%\vxb0ex0p.out
- %TEMP%\adomei0r.0.vb
- %TEMP%\d5zye8zm.cmdline
- %TEMP%\d5zye8zm.out
- %TEMP%\vxb0ex0p.0.vb
- %TEMP%\13zwevql.0.vb
- %TEMP%\13zwevql.cmdline
- %TEMP%\13zwevql.out
- %TEMP%\fxwnvk5y.0.vb
- %TEMP%\fxwnvk5y.cmdline
- %TEMP%\fxwnvk5y.out
- %TEMP%\qbm9dfl-.0.vb
- %TEMP%\dawbqebo.cmdline
- %TEMP%\dawbqebo.out
- %TEMP%\u0vqtgia.0.vb
- %TEMP%\qbm9dfl-.cmdline
- %TEMP%\qbm9dfl-.out
- %TEMP%\dawbqebo.0.vb
- %TEMP%\pqvwldeq.out
- %TEMP%\6lotjqt_.0.vb
- %TEMP%\6lotjqt_.cmdline
- %TEMP%\cuzje83y.out
- %TEMP%\pqvwldeq.0.vb
- %TEMP%\pqvwldeq.cmdline
- %TEMP%\6lotjqt_.out
- %TEMP%\_a-6aec-.0.vb
- %TEMP%\_a-6aec-.cmdline
- %TEMP%\_a-6aec-.out
- %TEMP%\z8yks8e0.0.vb
- %TEMP%\z8yks8e0.cmdline
- %TEMP%\z8yks8e0.out
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\System.exe
Удаляет следующие файлы:
- %TEMP%\tm0mcbwr.out
- %TEMP%\tm0mcbwr.0.vb
- %TEMP%\bss-pbpu.cmdline
- %TEMP%\2buze7di.cmdline
- %TEMP%\2buze7di.0.vb
- %TEMP%\tm0mcbwr.cmdline
- %TEMP%\isa_bjut.out
- %TEMP%\isa_bjut.0.vb
- %TEMP%\tm0yg3nh.cmdline
- %TEMP%\bss-pbpu.out
- %TEMP%\bss-pbpu.0.vb
- %TEMP%\isa_bjut.cmdline
- %TEMP%\2buze7di.out
- %TEMP%\-bve8i8v.cmdline
- %TEMP%\-bve8i8v.0.vb
- %TEMP%\-bve8i8v.out
- %TEMP%\rykemwlx.cmdline
- %TEMP%\rykemwlx.0.vb
- %TEMP%\rykemwlx.out
- %TEMP%\w4zuxto2.cmdline
- %TEMP%\w4zuxto2.out
- %TEMP%\w4zuxto2.0.vb
- %TEMP%\fy0ztq4c.out
- %TEMP%\fy0ztq4c.cmdline
- %TEMP%\fy0ztq4c.0.vb
- %TEMP%\tm0yg3nh.0.vb
- %TEMP%\azowbmt2.cmdline
- %TEMP%\azowbmt2.out
- %TEMP%\azowbmt2.0.vb
- %TEMP%\vxbbln6k.0.vb
- %TEMP%\vxbbln6k.cmdline
- %TEMP%\vxbbln6k.out
- %TEMP%\aydihsjs.0.vb
- %TEMP%\aydihsjs.cmdline
- %TEMP%\aydihsjs.out
- %TEMP%\casvv6pb.cmdline
- %TEMP%\casvv6pb.0.vb
- %TEMP%\casvv6pb.out
- %TEMP%\7v0gkuee.0.vb
- %TEMP%\rxbtfjqp.cmdline
- %TEMP%\ubalyjmv.out
- %TEMP%\ubalyjmv.0.vb
- %TEMP%\tm0yg3nh.out
- %TEMP%\rxbtfjqp.out
- %TEMP%\rxbtfjqp.0.vb
- %TEMP%\njjpyayp.0.vb
- %TEMP%\7v0gkuee.cmdline
- %TEMP%\7v0gkuee.out
- %TEMP%\ubalyjmv.cmdline
- %TEMP%\njjpyayp.cmdline
- %TEMP%\njjpyayp.out
- %TEMP%\u0vqtgia.out
- %TEMP%\ov2tclfd.0.vb
- %TEMP%\ov2tclfd.cmdline
- %TEMP%\ov2tclfd.out
- %TEMP%\c9k9tj5i.0.vb
- %TEMP%\c9k9tj5i.cmdline
- %TEMP%\c9k9tj5i.out
- %TEMP%\cuzje83y.cmdline
- %TEMP%\cuzje83y.0.vb
- %TEMP%\cuzje83y.out
- %TEMP%\fwiunmyk.out
- %TEMP%\fwiunmyk.cmdline
- %TEMP%\fwiunmyk.0.vb
- %TEMP%\adomei0r.cmdline
- %TEMP%\myqbdt-h.out
- %TEMP%\d5zye8zm.0.vb
- %TEMP%\d5zye8zm.cmdline
- %APPDATA%\System.exe
- %TEMP%\myqbdt-h.cmdline
- %TEMP%\myqbdt-h.0.vb
- %TEMP%\vxb0ex0p.0.vb
- %TEMP%\adomei0r.out
- %TEMP%\adomei0r.0.vb
- %TEMP%\d5zye8zm.out
- %TEMP%\vxb0ex0p.cmdline
- %TEMP%\vxb0ex0p.out
- %TEMP%\pqvwldeq.0.vb
- %TEMP%\13zwevql.cmdline
- %TEMP%\qbm9dfl-.0.vb
- %TEMP%\qbm9dfl-.out
- %TEMP%\fxwnvk5y.0.vb
- %TEMP%\13zwevql.out
- %TEMP%\13zwevql.0.vb
- %TEMP%\dawbqebo.0.vb
- %TEMP%\u0vqtgia.cmdline
- %TEMP%\u0vqtgia.0.vb
- %TEMP%\qbm9dfl-.cmdline
- %TEMP%\dawbqebo.cmdline
- %TEMP%\dawbqebo.out
- %TEMP%\fxwnvk5y.out
- %TEMP%\6lotjqt_.cmdline
- %TEMP%\6lotjqt_.0.vb
- %TEMP%\z8yks8e0.out
- %TEMP%\pqvwldeq.cmdline
- %TEMP%\pqvwldeq.out
- %TEMP%\6lotjqt_.out
- %TEMP%\_a-6aec-.cmdline
- %TEMP%\_a-6aec-.0.vb
- %TEMP%\fxwnvk5y.cmdline
- %TEMP%\z8yks8e0.0.vb
- %TEMP%\z8yks8e0.cmdline
- %TEMP%\_a-6aec-.out
Перемещает следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1993
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
