Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = '%APPDATA%\Svchost.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = '%APPDATA%\Svchost.bat'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Svchost.bat
Запускает на исполнение:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\-g5wct1m.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ju1djytm.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\7sesopog.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\psmzutqz.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\odnnxiwd.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\vfthl6v4.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\cojuzm-k.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ovj3dbep.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\62a8ct4q.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\9dqszsy3.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\zycuaz4a.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\vth0wvom.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\33-eg66d.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\g66vkr5w.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\24sy3mdl.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ezynjf5f.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\_vvimupb.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\zbxkdoek.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\umogjp4c.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\l05dsopu.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\zs4f8sdu.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\86jmjzih.cmdline"
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\ngwjctpx.cmdline"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\-g5wct1m.0.vb
- %TEMP%\-g5wct1m.cmdline
- %TEMP%\7sesopog.cmdline
- %TEMP%\7sesopog.out
- %TEMP%\ju1djytm.cmdline
- %TEMP%\ju1djytm.out
- %TEMP%\-g5wct1m.out
- %TEMP%\ju1djytm.0.vb
- %TEMP%\7sesopog.0.vb
- %TEMP%\psmzutqz.0.vb
- %TEMP%\psmzutqz.cmdline
- %TEMP%\vth0wvom.cmdline
- %TEMP%\vth0wvom.out
- %TEMP%\odnnxiwd.cmdline
- %TEMP%\odnnxiwd.out
- %TEMP%\psmzutqz.out
- %TEMP%\odnnxiwd.0.vb
- %TEMP%\vfthl6v4.0.vb
- %TEMP%\cojuzm-k.0.vb
- %TEMP%\cojuzm-k.cmdline
- %TEMP%\62a8ct4q.cmdline
- %TEMP%\62a8ct4q.out
- %TEMP%\ovj3dbep.cmdline
- %TEMP%\ovj3dbep.out
- %TEMP%\cojuzm-k.out
- %TEMP%\ovj3dbep.0.vb
- %TEMP%\62a8ct4q.0.vb
- %TEMP%\9dqszsy3.0.vb
- %TEMP%\9dqszsy3.cmdline
- %TEMP%\vfthl6v4.cmdline
- %TEMP%\vfthl6v4.out
- %TEMP%\zycuaz4a.cmdline
- %TEMP%\zycuaz4a.out
- %TEMP%\9dqszsy3.out
- %TEMP%\zycuaz4a.0.vb
- %TEMP%\33-eg66d.cmdline
- %TEMP%\33-eg66d.out
- %TEMP%\24sy3mdl.out
- %TEMP%\33-eg66d.0.vb
- %TEMP%\g66vkr5w.out
- %TEMP%\zbxkdoek.0.vb
- %TEMP%\g66vkr5w.0.vb
- %TEMP%\g66vkr5w.cmdline
- %TEMP%\24sy3mdl.cmdline
- %TEMP%\ezynjf5f.cmdline
- %TEMP%\ezynjf5f.out
- %APPDATA%\Svchost.bat
- %TEMP%\ezynjf5f.0.vb
- %TEMP%\_vvimupb.out
- %TEMP%\24sy3mdl.0.vb
- %TEMP%\_vvimupb.0.vb
- %TEMP%\_vvimupb.cmdline
- %TEMP%\zbxkdoek.cmdline
- %TEMP%\umogjp4c.cmdline
- %TEMP%\umogjp4c.out
- %TEMP%\zs4f8sdu.out
- %TEMP%\umogjp4c.0.vb
- %TEMP%\l05dsopu.out
- %TEMP%\vth0wvom.0.vb
- %TEMP%\l05dsopu.0.vb
- %TEMP%\l05dsopu.cmdline
- %TEMP%\zs4f8sdu.cmdline
- %TEMP%\86jmjzih.cmdline
- %TEMP%\86jmjzih.out
- %TEMP%\zbxkdoek.out
- %TEMP%\86jmjzih.0.vb
- %TEMP%\ngwjctpx.out
- %TEMP%\zs4f8sdu.0.vb
- %TEMP%\ngwjctpx.0.vb
- %TEMP%\ngwjctpx.cmdline
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Svchost.bat
Удаляет следующие файлы:
- %TEMP%\7sesopog.cmdline
- %TEMP%\7sesopog.0.vb
- %TEMP%\odnnxiwd.out
- %TEMP%\7sesopog.out
- %TEMP%\-g5wct1m.cmdline
- %TEMP%\ju1djytm.0.vb
- %TEMP%\-g5wct1m.0.vb
- %TEMP%\-g5wct1m.out
- %TEMP%\vth0wvom.0.vb
- %TEMP%\psmzutqz.0.vb
- %TEMP%\vth0wvom.out
- %TEMP%\vth0wvom.cmdline
- %TEMP%\odnnxiwd.cmdline
- %TEMP%\odnnxiwd.0.vb
- %TEMP%\psmzutqz.out
- %TEMP%\psmzutqz.cmdline
- %TEMP%\ju1djytm.out
- %TEMP%\62a8ct4q.cmdline
- %TEMP%\62a8ct4q.out
- %TEMP%\zycuaz4a.out
- %TEMP%\zycuaz4a.0.vb
- %TEMP%\cojuzm-k.out
- %TEMP%\cojuzm-k.cmdline
- %TEMP%\62a8ct4q.0.vb
- %TEMP%\cojuzm-k.0.vb
- %TEMP%\vfthl6v4.cmdline
- %TEMP%\vfthl6v4.0.vb
- %TEMP%\ju1djytm.cmdline
- %TEMP%\vfthl6v4.out
- %TEMP%\9dqszsy3.out
- %TEMP%\zycuaz4a.cmdline
- %TEMP%\9dqszsy3.0.vb
- %TEMP%\9dqszsy3.cmdline
- %TEMP%\33-eg66d.0.vb
- %TEMP%\33-eg66d.cmdline
- %TEMP%\24sy3mdl.cmdline
- %TEMP%\33-eg66d.out
- %TEMP%\g66vkr5w.cmdline
- %TEMP%\zbxkdoek.0.vb
- %TEMP%\g66vkr5w.0.vb
- %TEMP%\g66vkr5w.out
- %TEMP%\ezynjf5f.out
- %TEMP%\_vvimupb.cmdline
- %TEMP%\ezynjf5f.0.vb
- %TEMP%\ezynjf5f.cmdline
- %TEMP%\24sy3mdl.0.vb
- %TEMP%\24sy3mdl.out
- %TEMP%\_vvimupb.out
- %TEMP%\_vvimupb.0.vb
- %TEMP%\zbxkdoek.out
- %TEMP%\umogjp4c.0.vb
- %TEMP%\umogjp4c.cmdline
- %TEMP%\zs4f8sdu.out
- %TEMP%\zs4f8sdu.cmdline
- %TEMP%\l05dsopu.out
- %TEMP%\l05dsopu.cmdline
- %TEMP%\umogjp4c.out
- %TEMP%\l05dsopu.0.vb
- %TEMP%\86jmjzih.out
- %TEMP%\86jmjzih.cmdline
- %TEMP%\zbxkdoek.cmdline
- %TEMP%\86jmjzih.0.vb
- %TEMP%\ngwjctpx.cmdline
- %TEMP%\zs4f8sdu.0.vb
- %TEMP%\ngwjctpx.out
- %TEMP%\ngwjctpx.0.vb
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\tmpG140.tmp
Сетевая активность:
Подключается к:
- 'wa####st.zapto.org':7777
UDP:
- DNS ASK wa####st.zapto.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
