Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\iexplorer.vbs
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\Users\Public\we\starter.bat'
- 'C:\Users\Public\we\starter.bat' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' -n 5 127.0.0.1
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\we\dlvbs\foci.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\we\dlvbs\nircmd.vbs"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\we\dlvbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\we\starter.vbs"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\foci"
- '<SYSTEM32>\attrib.exe' +h +s +r "C:\Users\Public\we"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\we\maker.vbs"
- '<SYSTEM32>\mode.com' con lines=1 cols=14
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\sahel.bat""
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\we\maker.bat" "
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\we\dlvbs\winkl.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\we\dlvbs\Starter.vbs"
- '<SYSTEM32>\attrib.exe' +h +s +r C:\Users\Public\we\send
Изменения в файловой системе:
Создает следующие файлы:
- C:\Users\Public\foci\foci.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winkl[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\foci[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\starter[1].bat
- C:\Users\Public\we\starter.bat
- C:\Users\Public\we\nircmd.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\nircmd[2].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\nircmd[1].exe
- C:\Users\Public\we\winkl.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\winkl[1].exe
- %HOMEPATH%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\iexplorer.vbs
- C:\Users\Public\we\send.vbs
- C:\Users\Public\we\maker.vbs
- %TEMP%\sahel.bat
- C:\Users\Public\we\maker.bat
- C:\Users\Public\we\dlvbs\nircmd.vbs
- C:\Users\Public\we\dlvbs\foci.vbs
- C:\Users\Public\we\dlvbs\winkl.vbs
- C:\Users\Public\we\starter.vbs
- C:\Users\Public\we\dlvbs\Starter.vbs
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\nircmd[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winkl[1].exe
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'localhost':1046
- 'localhost':1048
- 'j4##48.tk':80
- 'localhost':1036
- 'localhost':1038
- 'localhost':1040
TCP:
Запросы HTTP GET:
- j4##48.tk/Logger.Vbs/DL/winkl.exe
- j4##48.tk/Logger.Vbs/DL/nircmd.exe
- j4##48.tk/Logger.Vbs/DL/starter.bat
- j4##48.tk/Logger.Vbs/DL/foci.exe
UDP:
- DNS ASK j4##48.tk
