Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\MicrosoftDefender.exe.lnk
Вредоносные функции:
Запускает на исполнение:
- '%TEMP%\WBP.exe' /stext %TEMP%\WBVP.txt
- '%TEMP%\mpv.exe' /stext %TEMP%\mpvp.txt
- '%WINDIR%\Server22.exe'
- '%TEMP%\mespv.exe' /stext %TEMP%\mespvp.txt
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 500
- '<SYSTEM32>\cmd.exe' /C ping 1.1.1.1 -n 1 -w 500 > Nul & Del "%WINDIR%\Server22.exe"
- '%TEMP%\pv.exe' /stext %TEMP%\pvp.txt
- '<SYSTEM32>\attrib.exe' -r -s hosts
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Server33.bat" "
- '%WINDIR%\MicrosoftDefender.exe'
- '<SYSTEM32>\cmd.exe' /c "TASKKILL /F /IM chrome.exe"
- '%WINDIR%\Server11.exe'
- '%WINDIR%\Serverss.exe' -p123 -d%WINDIR%
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\America Online\AIM6\Passwords]
- [<HKCU>\Software\AIM\AIMPRO]
- [<HKCU>\Software\America Online\AOL Instant Messenger (TM)\CurrentVersion\Users]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKLM>\Software\Miranda]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Paltalk]
- [<HKCU>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Yahoo\Pager]
- [<HKLM>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Valve\Steam]
- [<HKLM>\Software\Wow6432Node\Valve\Steam]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Internet Explorer\IntelliForms\Storage2]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\MSNMessenger]
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\locales\zh-CN.pak
- %WINDIR%\locales\zh-TW.pak
- %WINDIR%\locales\uk.pak
- %WINDIR%\locales\vi.pak
- %WINDIR%\avcodec-53.dll
- %WINDIR%\chrome.pak
- %WINDIR%\d3dcompiler_43.dll
- %WINDIR%\avformat-53.dll
- %WINDIR%\avutil-51.dll
- %WINDIR%\locales\tr.pak
- %WINDIR%\locales\sl.pak
- %WINDIR%\locales\sr.pak
- %WINDIR%\locales\ru.pak
- %WINDIR%\locales\sk.pak
- %WINDIR%\locales\sv.pak
- %WINDIR%\locales\te.pak
- %WINDIR%\locales\th.pak
- %WINDIR%\locales\sw.pak
- %WINDIR%\locales\ta.pak
- %TEMP%\mpv.exe
- %TEMP%\mpvp.txt
- %WINDIR%\Server11.exe
- %WINDIR%\Server22.exe
- %TEMP%\WBP.exe
- %TEMP%\pv.exe
- %TEMP%\pvp.txt
- %TEMP%\WBVP.txt
- %TEMP%\mespv.exe
- %TEMP%\PSE20\9afdd957c75f76ac3519be449141b2c2\php.ini
- %WINDIR%\libcef.dll
- %WINDIR%\libEGL.dll
- %WINDIR%\d3dx9_43.dll
- %WINDIR%\icudt.dll
- %WINDIR%\libGLESv2.dll
- %WINDIR%\Server33.bat
- %WINDIR%\Serverss.exe
- %WINDIR%\MicrosoftDefender.exe
- %WINDIR%\php5ts.dll
- %WINDIR%\locales\es.pak
- %WINDIR%\locales\et.pak
- %WINDIR%\locales\en-US.pak
- %WINDIR%\locales\es-419.pak
- %WINDIR%\locales\fa.pak
- %WINDIR%\locales\fr.pak
- %WINDIR%\locales\gu.pak
- %WINDIR%\locales\fi.pak
- %WINDIR%\locales\fil.pak
- %WINDIR%\locales\en-GB.pak
- %WINDIR%\locales\bg.pak
- %WINDIR%\locales\bn.pak
- %WINDIR%\locales\am.pak
- %WINDIR%\locales\ar.pak
- %WINDIR%\locales\ca.pak
- %WINDIR%\locales\de.pak
- %WINDIR%\locales\el.pak
- %WINDIR%\locales\cs.pak
- %WINDIR%\locales\da.pak
- %WINDIR%\locales\mr.pak
- %WINDIR%\locales\nb.pak
- %WINDIR%\locales\lv.pak
- %WINDIR%\locales\ml.pak
- %WINDIR%\locales\nl.pak
- %WINDIR%\locales\pt-PT.pak
- %WINDIR%\locales\ro.pak
- %WINDIR%\locales\pl.pak
- %WINDIR%\locales\pt-BR.pak
- %WINDIR%\locales\lt.pak
- %WINDIR%\locales\hr.pak
- %WINDIR%\locales\hu.pak
- %WINDIR%\locales\he.pak
- %WINDIR%\locales\hi.pak
- %WINDIR%\locales\id.pak
- %WINDIR%\locales\kn.pak
- %WINDIR%\locales\ko.pak
- %WINDIR%\locales\it.pak
- %WINDIR%\locales\ja.pak
Удаляет следующие файлы:
- %TEMP%\mespv.exe
- %TEMP%\pv.exe
- %TEMP%\pvp.txt
- %TEMP%\WBVP.txt
- %TEMP%\mpv.exe
- %TEMP%\mpvp.txt
- %TEMP%\WBP.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'sm##.gmail.com':587
UDP:
- DNS ASK sm##.gmail.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
