Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pwo6' = '%APPDATA%\pwo6\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\_MEI29922\bin\winlogon.exe' -SOCKSPort 33156 -ControlPort 33157 -DataDirectory "%APPDATA%\pwo6"
- '%APPDATA%\pwo6\svchost.exe'
- '%TEMP%\ubqxtdgh.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_MEI29922\win32com.shell.shell.pyd
- %TEMP%\_MEI29922\_multiprocessing.pyd
- %TEMP%\_MEI29922\win32api.pyd
- %TEMP%\_MEI29922\win32trace.pyd
- %TEMP%\_MEI29922\_ctypes.pyd
- %TEMP%\_MEI29922\win32ui.pyd
- %TEMP%\_MEI29922\pyexpat.pyd
- %TEMP%\_MEI29922\msgpack._unpacker.pyd
- %TEMP%\_MEI29922\msgpack._packer.pyd
- %TEMP%\_MEI29922\pywintypes27.dll
- %TEMP%\_MEI29922\_psutil_mswindows.pyd
- %TEMP%\_MEI29922\_socket.pyd
- %TEMP%\_MEI29922\pythoncom27.dll
- %TEMP%\_MEI29922\pyHook._cpyHook.pyd
- %TEMP%\_MEI29922\_ssl.pyd
- %TEMP%\_MEI29922\msvcm90.dll
- %TEMP%\_MEI29922\python27.dll
- %TEMP%\_MEI29922\_win32sysloader.pyd
- %TEMP%\_MEI29922\msvcp90.dll
- %APPDATA%\pwo6\svchost.exe
- %TEMP%\_MEI29922\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI29922\msvcr90.dll
- %TEMP%\_MEI29922\win32file.pyd
- %TEMP%\_MEI29922\_hashlib.pyd
- %TEMP%\_MEI29922\bz2.pyd
- %TEMP%\_MEI29922\win32gui.pyd
- %TEMP%\_MEI29922\win32pipe.pyd
- %TEMP%\_MEI29922\select.pyd
- %TEMP%\_MEI29922\unicodedata.pyd
- %TEMP%\_MEI29922\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI29922\bin\pthreadGC2.dll
- %TEMP%\_MEI29922\bin\scrypt130511.cl
- %TEMP%\_MEI29922\bin\ssleay32.dll
- %TEMP%\_MEI29922\bin\poclbm130302.cl
- %TEMP%\_MEI29922\bin\minerd.dll
- %TEMP%\_MEI29922\bin\OpenCL.dll
- %TEMP%\_MEI29922\bin\phatk121016.cl
- %TEMP%\tmplh4mrg\gen_py\__init__.py
- %TEMP%\tmplh4mrg\gen_py\dicts.dat
- %APPDATA%\pwo6\state.tmp
- %TEMP%\q7duay
- %TEMP%\_MEI29922\bin\winlogon.exe
- %TEMP%\_MEI29922\bin\zlib1.dll
- %TEMP%\_MEI29922\pwo6.exe.manifest
- %TEMP%\_MEI29922\bin\libidn-11.dll
- %TEMP%\_MEI29922\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI29922\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI29922\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI29922\mfcm90u.dll
- %TEMP%\_MEI29922\mfc90.dll
- %TEMP%\_MEI29922\mfc90u.dll
- %TEMP%\_MEI29922\mfcm90.dll
- %TEMP%\_MEI29922\bin\explorer.exe
- %TEMP%\_MEI29922\bin\libcurl.dll
- %TEMP%\_MEI29922\bin\libeay32.dll
- %TEMP%\_MEI29922\bin\diakgcn121016.cl
- %TEMP%\_MEI29922\include\pyconfig.h
- %TEMP%\_MEI29922\bin\csrss.exe
- %TEMP%\_MEI29922\bin\diablo130302.cl
- %TEMP%\_MEI28922\win32trace.pyd
- %TEMP%\_MEI28922\win32com.shell.shell.pyd
- %TEMP%\_MEI28922\_multiprocessing.pyd
- %TEMP%\_MEI28922\pyexpat.pyd
- %TEMP%\_MEI28922\_ssl.pyd
- %TEMP%\_MEI28922\_ctypes.pyd
- %TEMP%\_MEI28922\win32ui.pyd
- %TEMP%\_MEI28922\_psutil_mswindows.pyd
- %TEMP%\_MEI28922\msgpack._unpacker.pyd
- %TEMP%\_MEI28922\msgpack._packer.pyd
- %TEMP%\_MEI28922\pyHook._cpyHook.pyd
- %TEMP%\_MEI28922\win32api.pyd
- %TEMP%\_MEI28922\_socket.pyd
- %TEMP%\_MEI28922\pythoncom27.dll
- %TEMP%\_MEI28922\bz2.pyd
- %TEMP%\_MEI28922\msvcp90.dll
- %TEMP%\_MEI28922\msvcm90.dll
- %TEMP%\_MEI28922\python27.dll
- %TEMP%\_MEI28922\msvcr90.dll
- %TEMP%\ubqxtdgh.exe
- %TEMP%\Ekonometria i badania operacyjne. PodrД™cznik dla studiГіw licencjackich.pdf
- %TEMP%\_MEI28922\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28922\win32gui.pyd
- %TEMP%\_MEI28922\win32file.pyd
- %TEMP%\_MEI28922\_hashlib.pyd
- %TEMP%\_MEI28922\unicodedata.pyd
- %TEMP%\_MEI28922\_win32sysloader.pyd
- %TEMP%\_MEI28922\win32pipe.pyd
- %TEMP%\_MEI28922\select.pyd
- %TEMP%\_MEI28922\pywintypes27.dll
- %TEMP%\_MEI28922\bin\poclbm130302.cl
- %TEMP%\_MEI28922\bin\pthreadGC2.dll
- %TEMP%\_MEI28922\bin\scrypt130511.cl
- %TEMP%\_MEI28922\bin\phatk121016.cl
- %TEMP%\_MEI28922\bin\libidn-11.dll
- %TEMP%\_MEI28922\bin\minerd.dll
- %TEMP%\_MEI28922\bin\OpenCL.dll
- %TEMP%\zvizkk
- %TEMP%\tmpdz2rqh\gen_py\__init__.py
- %TEMP%\tmpdz2rqh\gen_py\dicts.dat
- %TEMP%\_MEI28922\pwo6.exe.manifest
- %TEMP%\_MEI28922\bin\ssleay32.dll
- %TEMP%\_MEI28922\bin\winlogon.exe
- %TEMP%\_MEI28922\bin\zlib1.dll
- %TEMP%\_MEI28922\bin\libeay32.dll
- %TEMP%\_MEI28922\mfcm90u.dll
- %TEMP%\_MEI28922\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28922\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28922\mfcm90.dll
- %TEMP%\_MEI28922\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28922\mfc90.dll
- %TEMP%\_MEI28922\mfc90u.dll
- %TEMP%\_MEI28922\bin\diakgcn121016.cl
- %TEMP%\_MEI28922\bin\explorer.exe
- %TEMP%\_MEI28922\bin\libcurl.dll
- %TEMP%\_MEI28922\bin\diablo130302.cl
- %TEMP%\_MEI28922\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28922\include\pyconfig.h
- %TEMP%\_MEI28922\bin\csrss.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\pwo6\svchost.exe
Удаляет следующие файлы:
- %TEMP%\_MEI28922\python27.dll
- %TEMP%\_MEI28922\pyHook._cpyHook.pyd
- %TEMP%\_MEI28922\pyexpat.pyd
- %TEMP%\_MEI28922\pythoncom27.dll
- %TEMP%\_MEI28922\unicodedata.pyd
- %TEMP%\_MEI28922\select.pyd
- %TEMP%\_MEI28922\pywintypes27.dll
- %TEMP%\_MEI28922\msgpack._unpacker.pyd
- %TEMP%\_MEI28922\msgpack._packer.pyd
- %TEMP%\_MEI28922\Microsoft.VC90.MFC.manifest
- %TEMP%\_MEI28922\msvcm90.dll
- %TEMP%\_MEI28922\pwo6.exe.manifest
- %TEMP%\_MEI28922\msvcr90.dll
- %TEMP%\_MEI28922\msvcp90.dll
- %TEMP%\_MEI28922\_multiprocessing.pyd
- %TEMP%\_MEI28922\_hashlib.pyd
- %TEMP%\_MEI28922\_ctypes.pyd
- %TEMP%\_MEI28922\_psutil_mswindows.pyd
- %TEMP%\_MEI28922\_win32sysloader.pyd
- %TEMP%\_MEI28922\_ssl.pyd
- %TEMP%\_MEI28922\_socket.pyd
- %TEMP%\_MEI28922\win32file.pyd
- %TEMP%\_MEI28922\win32com.shell.shell.pyd
- %TEMP%\_MEI28922\win32api.pyd
- %TEMP%\_MEI28922\win32gui.pyd
- %TEMP%\_MEI28922\win32ui.pyd
- %TEMP%\_MEI28922\win32trace.pyd
- %TEMP%\_MEI28922\win32pipe.pyd
- %TEMP%\_MEI28922\bin\minerd.dll
- %TEMP%\_MEI28922\bin\libidn-11.dll
- %TEMP%\_MEI28922\bin\libeay32.dll
- %TEMP%\_MEI28922\bin\OpenCL.dll
- %TEMP%\_MEI28922\bin\pthreadGC2.dll
- %TEMP%\_MEI28922\bin\poclbm130302.cl
- %TEMP%\_MEI28922\bin\phatk121016.cl
- %TEMP%\_MEI28922\bin\csrss.exe
- %TEMP%\q7duay
- %TEMP%\zvizkk
- %TEMP%\_MEI28922\bin\diablo130302.cl
- %TEMP%\_MEI28922\bin\libcurl.dll
- %TEMP%\_MEI28922\bin\explorer.exe
- %TEMP%\_MEI28922\bin\diakgcn121016.cl
- %TEMP%\_MEI28922\mfc90.dll
- %TEMP%\_MEI28922\include\pyconfig.h
- %TEMP%\_MEI28922\eggs\wmi-1.4.9-py2.7-win32.egg
- %TEMP%\_MEI28922\mfc90u.dll
- %TEMP%\_MEI28922\Microsoft.VC90.CRT.manifest
- %TEMP%\_MEI28922\mfcm90u.dll
- %TEMP%\_MEI28922\mfcm90.dll
- %TEMP%\_MEI28922\bin\winlogon.exe
- %TEMP%\_MEI28922\bin\ssleay32.dll
- %TEMP%\_MEI28922\bin\scrypt130511.cl
- %TEMP%\_MEI28922\bin\zlib1.dll
- %TEMP%\_MEI28922\eggs\psutil-1.0.1-py2.7-win32.egg
- %TEMP%\_MEI28922\eggs\msgpack_python-0.3.0-py2.7-win32.egg
- %TEMP%\_MEI28922\bz2.pyd
Перемещает следующие файлы:
- %APPDATA%\pwo6\state.tmp в %APPDATA%\pwo6\state
Сетевая активность:
Подключается к:
- '19#.#3.244.244':443
- '19#.#09.206.212':443
- 'localhost':33156
- 'localhost':1038
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
