Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Windows_rejice] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%CommonProgramFiles%\Microsoft Shared\MSInfo\Se313.exe'
Запускает на исполнение:
- '<SYSTEM32>\dumprep.exe' 3248 -dm 7 7 %TEMP%\WER1e04.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3192 -dm 7 7 %TEMP%\WERe028.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3300 -dm 7 7 %TEMP%\WER3713.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3248 -dm 7 7 %TEMP%\WER1e04.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3140 -dm 7 7 %TEMP%\WERcf8d.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3088 -dm 7 7 %TEMP%\WER90a9.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3192 -dm 7 7 %TEMP%\WERe028.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3140 -dm 7 7 %TEMP%\WERcf8d.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3300 -dm 7 7 %TEMP%\WER3713.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3460 -dm 7 7 %TEMP%\WERbdef.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3460 -dm 7 7 %TEMP%\WERbdef.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3524 -dm 7 7 %TEMP%\WERd551.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3524 -dm 7 7 %TEMP%\WERd551.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3336 -dm 7 7 %TEMP%\WER6fc0.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3336 -dm 7 7 %TEMP%\WER6fc0.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3400 -dm 7 7 %TEMP%\WER8608.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3400 -dm 7 7 %TEMP%\WER8608.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3088 -dm 7 7 %TEMP%\WER90a9.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 2768 -dm 7 7 %TEMP%\WERbeac.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\notepad.exe
- '<SYSTEM32>\dumprep.exe' 2820 -dm 7 7 %TEMP%\WERd1d5.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 2768 -dm 7 7 %TEMP%\WERbeac.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\cmd.exe' /c "%CommonProgramFiles%\Microsoft Shared\MSINFO\Delet.bat"
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\dumprep.exe' 2592 -dm 7 7 %TEMP%\WER77fc.dir00\notepad.exe.hdmp 16325836412027096
- '<SYSTEM32>\dumprep.exe' 2592 -dm 7 7 %TEMP%\WER77fc.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 2820 -dm 7 7 %TEMP%\WERd1d5.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 2976 -dm 7 7 %TEMP%\WER45ca.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 2976 -dm 7 7 %TEMP%\WER45ca.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 3028 -dm 7 7 %TEMP%\WER7d77.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 3028 -dm 7 7 %TEMP%\WER7d77.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 2872 -dm 7 7 %TEMP%\WER0b23.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 2872 -dm 7 7 %TEMP%\WER0b23.dir00\notepad.exe.mdmp 16325836412027076
- '<SYSTEM32>\dumprep.exe' 2924 -dm 7 7 %TEMP%\WER2c8b.dir00\notepad.exe.hdmp 16325836412027088
- '<SYSTEM32>\dumprep.exe' 2924 -dm 7 7 %TEMP%\WER2c8b.dir00\notepad.exe.mdmp 16325836412027076
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\notepad.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WER1e04.dir00\notepad.exe.mdmp
- %TEMP%\WER1e04.dir00\notepad.exe.hdmp
- %TEMP%\WERe028.dir00\appcompat.txt
- %TEMP%\WERe028.dir00\manifest.txt
- %TEMP%\WER3713.dir00\notepad.exe.mdmp
- %TEMP%\WER3713.dir00\notepad.exe.hdmp
- %TEMP%\WER1e04.dir00\appcompat.txt
- %TEMP%\WER1e04.dir00\manifest.txt
- %TEMP%\WERcf8d.dir00\notepad.exe.mdmp
- %TEMP%\WERcf8d.dir00\notepad.exe.hdmp
- %TEMP%\WER90a9.dir00\appcompat.txt
- %TEMP%\WER90a9.dir00\manifest.txt
- %TEMP%\WERe028.dir00\notepad.exe.mdmp
- %TEMP%\WERe028.dir00\notepad.exe.hdmp
- %TEMP%\WERcf8d.dir00\appcompat.txt
- %TEMP%\WERcf8d.dir00\manifest.txt
- %TEMP%\WERbdef.dir00\notepad.exe.mdmp
- %TEMP%\WERbdef.dir00\notepad.exe.hdmp
- %TEMP%\WER8608.dir00\appcompat.txt
- %TEMP%\WER8608.dir00\manifest.txt
- %TEMP%\WERd551.dir00\notepad.exe.mdmp
- %TEMP%\WERd551.dir00\notepad.exe.hdmp
- %TEMP%\WERbdef.dir00\appcompat.txt
- %TEMP%\WERbdef.dir00\manifest.txt
- %TEMP%\WER6fc0.dir00\notepad.exe.mdmp
- %TEMP%\WER6fc0.dir00\notepad.exe.hdmp
- %TEMP%\WER3713.dir00\appcompat.txt
- %TEMP%\WER3713.dir00\manifest.txt
- %TEMP%\WER8608.dir00\notepad.exe.mdmp
- %TEMP%\WER8608.dir00\notepad.exe.hdmp
- %TEMP%\WER6fc0.dir00\appcompat.txt
- %TEMP%\WER6fc0.dir00\manifest.txt
- %TEMP%\WER90a9.dir00\notepad.exe.hdmp
- %TEMP%\WERbeac.dir00\manifest.txt
- %TEMP%\WERd1d5.dir00\notepad.exe.mdmp
- %TEMP%\WERbeac.dir00\notepad.exe.hdmp
- %TEMP%\WERbeac.dir00\appcompat.txt
- %TEMP%\WERd1d5.dir00\manifest.txt
- %TEMP%\WER0b23.dir00\notepad.exe.mdmp
- %TEMP%\WERd1d5.dir00\notepad.exe.hdmp
- %TEMP%\WERd1d5.dir00\appcompat.txt
- %CommonProgramFiles%\Microsoft Shared\MSInfo\Delet.bat
- %TEMP%\WER77fc.dir00\notepad.exe.mdmp
- %CommonProgramFiles%\Microsoft Shared\MSInfo\Se313.exe
- <SYSTEM32>\_Se313.exe
- %TEMP%\WER77fc.dir00\manifest.txt
- %TEMP%\WERbeac.dir00\notepad.exe.mdmp
- %TEMP%\WER77fc.dir00\notepad.exe.hdmp
- %TEMP%\WER77fc.dir00\appcompat.txt
- %TEMP%\WER45ca.dir00\manifest.txt
- %TEMP%\WER7d77.dir00\notepad.exe.mdmp
- %TEMP%\WER45ca.dir00\notepad.exe.hdmp
- %TEMP%\WER45ca.dir00\appcompat.txt
- %TEMP%\WER7d77.dir00\manifest.txt
- %TEMP%\WER90a9.dir00\notepad.exe.mdmp
- %TEMP%\WER7d77.dir00\notepad.exe.hdmp
- %TEMP%\WER7d77.dir00\appcompat.txt
- %TEMP%\WER0b23.dir00\manifest.txt
- %TEMP%\WER2c8b.dir00\notepad.exe.mdmp
- %TEMP%\WER0b23.dir00\notepad.exe.hdmp
- %TEMP%\WER0b23.dir00\appcompat.txt
- %TEMP%\WER2c8b.dir00\manifest.txt
- %TEMP%\WER45ca.dir00\notepad.exe.mdmp
- %TEMP%\WER2c8b.dir00\notepad.exe.hdmp
- %TEMP%\WER2c8b.dir00\appcompat.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\_Se313.exe
- %CommonProgramFiles%\Microsoft Shared\MSInfo\Se313.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'wg####sx.3322.org':80
UDP:
- DNS ASK wg####sx.3322.org
Другое:
Ищет следующие окна:
- ClassName: 'TPOKYLUK' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
