Техническая информация
Для обеспечения автозапуска и распространения:
Заражает следующие исполняемые системные файлы:
- %WINDIR%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost\udhisapi.dll
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' %TEMP%\b0io.dat,OKL04
- '<SYSTEM32>\rundll32.exe' %TEMP%\b0io.dat,OKL06
- '<SYSTEM32>\ctfmon.exe'
- '<SYSTEM32>\rundll32.exe' %TEMP%\b0io.dat,OKL00
- '<SYSTEM32>\rundll32.exe' %TEMP%\b0io.dat,OKL01
- '<SYSTEM32>\rundll32.exe' %TEMP%\b0io.dat,OKL03
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Small.jpg
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{21B4FA0C-FD68-40A9-9EB3-1E5B53894E03}.jpg
- C:\Users\Public\Music\Sample Music\Folder.jpg
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Large.jpg
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\SOXZEUJX\IE9CompatViewList[1].xml
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\getmdrcdposturlbackground[1]
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{F169789A-333F-4C57-8352-F0F195521ACE}.jpg
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\getmdrcdbackground[1]
- C:\Users\Public\Music\Sample Music\AlbumArtSmall.jpg
- %TEMP%\oi0b.pad
- %TEMP%\oi0b.js
- %TEMP%\b0io.dat
- C:\ProgramData\b0io.dat
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\fwlink[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\allservices[1]
- %APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\oi0b.lnk
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Small.jpg
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{21B4FA0C-FD68-40A9-9EB3-1E5B53894E03}.jpg
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{F169789A-333F-4C57-8352-F0F195521ACE}.jpg
- C:\Users\Public\Music\Sample Music\AlbumArtSmall.jpg
- C:\Users\Public\Music\Sample Music\Folder.jpg
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Large.jpg
Сетевая активность:
Подключается к:
- '64.##0.167.162':80
- 'localhost':62567
- 'wh###illber.com':443
- 'localhost':56566
- '37.##9.53.169':80
- 'localhost':61648
- '64.##0.167.162':443
- '20#.#6.232.182':80
- '20#.#6.232.182':443
- '37.##9.53.169':443
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/IE9CompatViewList.xml
- 20#.#6.232.182/redir/getmdrcdposturlbackground/?lo#######################################################################################################
- 20#.#6.232.182/redir/getmdrcdbackground/?lo##################################################################################################
- 20#.#6.232.182/fwlink/?Li##########
- 20#.#6.232.182/redir/allservices/?sv#############################################################
UDP:
- DNS ASK wh###illber.com
- DNS ASK dn#.##ftncsi.com
- DNS ASK ie######t.ie.microsoft.com
- DNS ASK re###.####services.microsoft.com
- DNS ASK go.###rosoft.com
- DNS ASK ur#.##crosoft.com
- '23#.#55.255.250':1900
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebCheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Type32_Main_Window' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
