Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RPVLUT.tmp\4xyyfqP4sUZ4JzF.exe' target ".\" bits downExt
- '%TEMP%\7zS1.tmp\4xyyfqP4sUZ4JzF.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /u /s ".\\IKBEG7ovY8NtJS.x64.dll"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\JfPoemXnt.js
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\lsdb.js
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\manifest.json
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\content.js
- %TEMP%\RPVLUT.tmp\4xyyfqP4sUZ4JzF.dat
- %TEMP%\RPVLUT.tmp\4xyyfqP4sUZ4JzF.exe
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\background.html
- %TEMP%\RPVLUT.tmp\OxcF@L.net\chrome.manifest
- %TEMP%\RPVLUT.tmp\OxcF@L.net\content\bg.js
- %TEMP%\RPVLUT.tmp\OxcF@L.net\install.rdf
- %TEMP%\RPVLUT.tmp\OxcF@L.net\bootstrap.js
- %TEMP%\RPVLUT.tmp\IKBEG7ovY8NtJS.dll
- %TEMP%\RPVLUT.tmp\IKBEG7ovY8NtJS.tlb
- %TEMP%\RPVLUT.tmp\IKBEG7ovY8NtJS.x64.dll
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\content.js
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\JfPoemXnt.js
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\lsdb.js
- %TEMP%\7zS1.tmp\OxcF@L.net\bootstrap.js
- %TEMP%\7zS1.tmp\OxcF@L.net\chrome.manifest
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\background.html
- %TEMP%\7zS1.tmp\OxcF@L.net\content\bg.js
- %TEMP%\7zS1.tmp\4xyyfqP4sUZ4JzF.dat
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\manifest.json
- %TEMP%\7zS1.tmp\OxcF@L.net\install.rdf
- %TEMP%\7zS1.tmp\IKBEG7ovY8NtJS.tlb
- %TEMP%\7zS1.tmp\4xyyfqP4sUZ4JzF.exe
- %TEMP%\7zS1.tmp\IKBEG7ovY8NtJS.dll
- %TEMP%\7zS1.tmp\IKBEG7ovY8NtJS.x64.dll
Удаляет следующие файлы:
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\JfPoemXnt.js
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\lsdb.js
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\manifest.json
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\content.js
- %TEMP%\7zS1.tmp\4xyyfqP4sUZ4JzF.dat
- %TEMP%\7zS1.tmp\4xyyfqP4sUZ4JzF.exe
- %TEMP%\7zS1.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\background.html
- %TEMP%\7zS1.tmp\OxcF@L.net\chrome.manifest
- %TEMP%\7zS1.tmp\OxcF@L.net\content\bg.js
- %TEMP%\7zS1.tmp\OxcF@L.net\install.rdf
- %TEMP%\7zS1.tmp\OxcF@L.net\bootstrap.js
- %TEMP%\7zS1.tmp\IKBEG7ovY8NtJS.dll
- %TEMP%\7zS1.tmp\IKBEG7ovY8NtJS.tlb
- %TEMP%\7zS1.tmp\IKBEG7ovY8NtJS.x64.dll
- %TEMP%\RPVLUT.tmp\IKBEG7ovY8NtJS.tlb
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\background.html
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\content.js
- %TEMP%\RPVLUT.tmp\IKBEG7ovY8NtJS.x64.dll
- %TEMP%\RPVLUT.tmp\4xyyfqP4sUZ4JzF.exe
- %TEMP%\RPVLUT.tmp\4xyyfqP4sUZ4JzF.dat
- %TEMP%\RPVLUT.tmp\IKBEG7ovY8NtJS.dll
- %TEMP%\RPVLUT.tmp\OxcF@L.net\chrome.manifest
- %TEMP%\RPVLUT.tmp\OxcF@L.net\content\bg.js
- %TEMP%\RPVLUT.tmp\OxcF@L.net\install.rdf
- %TEMP%\RPVLUT.tmp\OxcF@L.net\bootstrap.js
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\JfPoemXnt.js
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\lsdb.js
- %TEMP%\RPVLUT.tmp\gmimhalggpfodicgfeehjcnbbkmfbmdl\manifest.json
Сетевая активность:
Подключается к:
- 'zi####kinstall.info':80
- 'localhost':1040
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK zi####kinstall.info
- DNS ASK wp#d
