Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\systems_32.exe
Запускает на исполнение:
- <SYSTEM32>\ping.exe localhost -n
- <SYSTEM32>\ping.exe localhost -n 2
- <SYSTEM32>\ping.exe localhost -n 1
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\CabalOnlineWH.bat""
- <SYSTEM32>\mode.com 80,18
Внедряет код в
следующие пользовательские процессы:
- cabalmain.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\c0lin.exe
- <Текущая директория>\c0lin.dll
- %TEMP%\1.tmp\CabalOnlineWH.bat
- %TEMP%\1.tmp\b2e
- %TEMP%\1.tmp\binaries.txt
Удаляет следующие файлы:
- %TEMP%\1.tmp\CabalOnlineWH.bat
- %TEMP%\1.tmp\b2e.dll
- %TEMP%\1.tmp\binaries.txt
- %TEMP%\1.tmp\b2e
Перемещает следующие файлы:
- %WINDIR%\systems_32.log в %WINDIR%\Provit0s.txt
- <Текущая директория>\c0lin.dll в %WINDIR%\systems_32.log
- <Текущая директория>\c0lin.exe в %WINDIR%\systems_32.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
