Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'interpee' = 'C:\a\internetport3.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'interpee' = 'C:\a\internetport3.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dutoauto' = 'C:\a\wincheckfe.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rutoauto' = '45524600.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'cutoauto' = 'C:\a\wincheckfe.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\intr.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\yuntnani\vchk.exe'
- 'C:\a\winonit.exe'
- 'C:\a\getcap.exe'
- 'C:\a\7za.exe' a C:\a\1.zip C:\a\1.bmp -y >nul 2
- '%TEMP%\nsuB.tmp\nsC.tmp' C:\a\7za.exe a C:\a\1.zip C:\a\1.bmp -y >nul 2
- 'C:\a\internetport3.exe'
- 'C:\a\c90rWaxQw1q1JFfZz3Kx.exe'
- 'C:\a\wcheckf.exe'
- 'C:\a\wincheckfe.exe'
- '<LS_APPDATA>\yuntnani\vchk.exe' (загружен из сети Интернет)
- 'C:\a\c90rWaxQw1q1JFfZz3Kx.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\taskkill.exe' /im firefox.exe
- '<SYSTEM32>\taskkill.exe' /im chrome.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\SOFTWARE\Microsoft\MessengerService]
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8877;https=127.0.0.1:8877'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8877;https=127.0.0.1:8877;'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8877;https=127.0.0.1:8877'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nss9.tmp\System.dll
- %TEMP%\nsy7.tmp\FindProcDLL.dll
- %TEMP%\nsy7.tmp\System.dll
- C:\a\ahho.txt
- %TEMP%\nsy7.tmp\inetc.dll
- %TEMP%\nss9.tmp\inetc.dll
- C:\a\uniquec90rWaxQw1q1JFfZz3Kx.ini
- C:\a\.exe
- C:\a\ver.ini
- %TEMP%\nsm5.tmp\FindProcDLL.dll
- %TEMP%\nsm5.tmp\System.dll
- C:\a\c90rWaxQw1q1JFfZz3Kx.exe
- %TEMP%\nsuB.tmp\nsExec.dll
- C:\a\1.bmp
- %TEMP%\nsuB.tmp\nsScreenshot.dll
- C:\a\1.zip
- %TEMP%\nsuB.tmp\nsC.tmp
- C:\a\avv.txt
- C:\a\auur.txt
- <LS_APPDATA>\yuntnani\vchk.exe
- C:\a\7za.exe
- %TEMP%\nsuB.tmp\System.dll
- %TEMP%\nss9.tmp\KillProcDLL.dll
- C:\a\winonit.exe
- C:\a\wincheckfe.exe
- C:\a\wcheckf.exe
- C:\a\zvv.txt
- C:\a\zuur.txt
- C:\a\zhho.txt
- %TEMP%\nsm2.tmp\AccessControl.dll
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
- %TEMP%\nsm2.tmp\System.dll
- C:\a\internetport3.exe
- C:\a\getcap.exe
- C:\a\FiddlerCore.dll
- C:\a\loogg2.txt
- %TEMP%\nsm2.tmp\SimpleFC.dll
- C:\a\ukey.ini
- C:\a\install.txt
- C:\a\ayyyyy.txt
- %TEMP%\nsm2.tmp\inetc.dll
- <SYSTEM32>\45524600.bat
- C:\a\34986330.bat
- C:\a\zvchk.txt
- %TEMP%\nsm2.tmp\UAC.dll
- C:\a\vHAWoasIlj.exe
- %TEMP%\nsm2.tmp\pwgen.dll
Удаляет следующие файлы:
- C:\a\uur.txt
- C:\a\hho.txt
- C:\a\vv.txt
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\nsm2.tmp\UAC.dll
- %TEMP%\nsm2.tmp\inetc.dll
- %TEMP%\nsm2.tmp\AccessControl.dll
- %TEMP%\nsm2.tmp\pwgen.dll
- %TEMP%\nsm2.tmp\System.dll
- %TEMP%\nsm2.tmp\SimpleFC.dll
Перемещает следующие файлы:
- C:\a\ahho.txt в C:\a\hho.txt
- C:\a\auur.txt в C:\a\uur.txt
- C:\a\avv.txt в C:\a\vv.txt
- C:\a\zvchk.txt в C:\a\vchk.txt
- C:\a\zvv.txt в C:\a\vv.txt
- C:\a\zuur.txt в C:\a\uur.txt
- C:\a\zhho.txt в C:\a\hho.txt
Сетевая активность:
Подключается к:
- 'do##o.net':80
TCP:
Запросы HTTP GET:
- do##o.net/act/exevc/vchk.exe
- do##o.net/act/txt/hho.txt
- do##o.net/act/txt/vv.txt
- do##o.net/act/txt/uur.txt
- do##o.net/act/exesbununique/c90rWaxQw1q1JFfZz3Kx.exe
- do##o.net/act/bdcount.ini?un###############################################################################
- do##o.net/cki.php?a=##
- do##o.net/act/uniquec90rWaxQw1q1JFfZz3Kx.ini?rd###
- do##o.net/act/exesbun/.exe
UDP:
- DNS ASK do###.dotdo.net
- DNS ASK do##o.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
