Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=1952
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2508
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2976
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2732
- '%TEMP%\1.tmp\PEVZ.EXE' /S /D /c" type tmp.txt "
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3204
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=276
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=4068
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3076
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=904
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=1396
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=376
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3432
- '%TEMP%\1.tmp\PEVZ.EXE' /M /I "smeenk"
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3332
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2400
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3720
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3592
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "\??\<SYSTEM32>\winlogon.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "\??\<SYSTEM32>\csrss.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\lsass.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\services.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' PLIST
- '%TEMP%\1.tmp\PEVZ.EXE' clist
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\smss.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtd "%HOMEPATH%"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "%WINDIR%\Explorer.EXE"
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2932
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=2888
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3280
- '%TEMP%\1.tmp\PEVZ.EXE' /pid=3232
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\ctfmon.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\spoolsv.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' -rtf -c:##j# "<SYSTEM32>\alg.exe"
- '%TEMP%\1.tmp\PEVZ.EXE' <Служебный элемент>
Запускает на исполнение:
- '<SYSTEM32>\findstr.exe' /pid=272
- '<SYSTEM32>\findstr.exe' /pid=1952
- '<SYSTEM32>\findstr.exe' /pid=2592
- '<SYSTEM32>\findstr.exe' /pid=3516
- '<SYSTEM32>\findstr.exe' /pid=3956
- '<SYSTEM32>\findstr.exe' /pid=3196
- '<SYSTEM32>\findstr.exe' /pid=3256
- '<SYSTEM32>\findstr.exe' /pid=3520
- '<SYSTEM32>\findstr.exe' /pid=952
- '<SYSTEM32>\findstr.exe' /pid=3776
- '<SYSTEM32>\findstr.exe' /pid=920
- '<SYSTEM32>\findstr.exe' /pid=1464
- '<SYSTEM32>\findstr.exe' /pid=1428
- '<SYSTEM32>\findstr.exe' /pid=2956
- '<SYSTEM32>\findstr.exe' /pid=3880
- '<SYSTEM32>\findstr.exe' /M /I "zoek"
- '<SYSTEM32>\findstr.exe' /M /I "z-analyse"
- '<SYSTEM32>\findstr.exe' /M /I ".com"
- '<SYSTEM32>\findstr.exe' /M /I "mshta.exe"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\zoek-install.bat" "
- '<SYSTEM32>\findstr.exe' /M /I "zoek.bat"
- '<SYSTEM32>\findstr.exe' -RIV "C:\\WINDOWS\\system32\\svchost.exe C:\\WINDOWS\\system32\\cmd.exe \\PEVZ.exe" ProcessList.txt
- '<SYSTEM32>\findstr.exe' <Служебный элемент>
- '<SYSTEM32>\findstr.exe' /pid=3132
- '<SYSTEM32>\findstr.exe' /S /D /c" type tmp.txt "
- '<SYSTEM32>\findstr.exe' /M /I "smeenk"
- '<SYSTEM32>\findstr.exe' /M /I ".pif"
- '<SYSTEM32>\findstr.exe' /M /I ".scr"
- '<SYSTEM32>\findstr.exe' /M /I ".exe"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\findstr.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\zd.scf
- %TEMP%\1.tmp\ze.scf
- %TEMP%\1.tmp\zc.scf
- %TEMP%\1.tmp\za.scf
- %TEMP%\1.tmp\zb.scf
- %TEMP%\1.tmp\PEVZ.EXE
- %TEMP%\1.tmp\test.txt
- %TEMP%\1.tmp\tmp.txt
- %TEMP%\1.tmp\logje.txt
- %TEMP%\1.tmp\clist.txt
- %TEMP%\1.tmp\ProcessList.txt
- %TEMP%\1.tmp\z2.scf
- %TEMP%\1.tmp\z3.scf
- %TEMP%\1.tmp\z1.scf
- %TEMP%\1.tmp\zoek-install.bat
- %TEMP%\1.tmp\z0.scf
- %TEMP%\1.tmp\z4.scf
- %TEMP%\1.tmp\z8.scf
- %TEMP%\1.tmp\z9.scf
- %TEMP%\1.tmp\z7.scf
- %TEMP%\1.tmp\z5.scf
- %TEMP%\1.tmp\z6.scf
Удаляет следующие файлы:
- %TEMP%\1.tmp\test.txt
- %TEMP%\1.tmp\tmp.txt
- %TEMP%\1.tmp\clist.txt
- %TEMP%\1.tmp\ProcessList.txt
