Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'maxmaster' = '"%APPDATA%\Temp\maxmaster.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'maxmaster' = '"%APPDATA%\MAXMASTER.EXE"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\MH.EXE'
- '%APPDATA%\MAXMASTER.EXE'
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /create /tn "maxmaster" /sc ONLOGON /tr "%APPDATA%\MAXMASTER.EXE" /rl HIGHEST /f
- '%APPDATA%\Temp\maxmaster.exe'
- '<SYSTEM32>\schtasks.exe' /create /tn "maxmaster" /sc ONLOGON /tr "%APPDATA%\Temp\maxmaster.exe" /rl HIGHEST /f
- '%TEMP%\pft2~tmp\_ISDel.exe'
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe'
- '%TEMP%\pft2~tmp\Setup.exe' /SMS
- '%TEMP%\_ISTMP1.DIR\_INS5576._MP'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\vbc.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_ISTMP1.DIR\_INS0432.INI
- %TEMP%\_ISTMP1.DIR\_WUTL951.DLL
- %WINDIR%\_isenv31.ini
- %WINDIR%\_iserr31.ini
- %TEMP%\_ISTMP1.DIR\ZDataI51.dll
- %TEMP%\pft2~tmp\data1.cab
- %TEMP%\pft2~tmp\data1.hdr
- %TEMP%\_ISTMP1.DIR\_INS5576._MP
- %TEMP%\pft2~tmp\layout.bin
- %WINDIR%\IsUn0407.exe
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\value.shl
- %APPDATA%\Logs\10-11-2016
- %APPDATA%\Temp\maxmaster.exe
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\IsUninst.728
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Corecomp.ini
- %WINDIR%\_delis32.ini
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\_isres.dll
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\Ctl3d32.dll
- %TEMP%\pft2~tmp\setup.lid
- %TEMP%\pft2~tmp\Setup.exe
- %TEMP%\pft2~tmp\_INST32I.EX_
- %TEMP%\pft2~tmp\lang.dat
- %TEMP%\pft2~tmp\_ISDel.exe
- %TEMP%\pft2~tmp\pftw1.pkg
- %TEMP%\1.resource
- %TEMP%\aut1.tmp
- %APPDATA%\MH.EXE
- %APPDATA%\MAXMASTER.EXE
- %TEMP%\pft2~tmp\_sys1.cab
- %TEMP%\pft2~tmp\_sys1.hdr
- %TEMP%\pft2~tmp\_user1.cab
- %TEMP%\pft2~tmp\_user1.hdr
- %TEMP%\pft2~tmp\SETUP.INI
- %TEMP%\pft2~tmp\_Setup.dll
- %TEMP%\pft2~tmp\os.dat
- %TEMP%\pft2~tmp\DATA.TAG
- %TEMP%\pft2~tmp\setup.ins
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Temp\maxmaster.exe
- <Полный путь к файлу>
Удаляет следующие файлы:
- %WINDIR%\_iserr31.ini
- %WINDIR%\_isenv31.ini
- %TEMP%\aut1.tmp
- %TEMP%\_ISTMP1.DIR\_INS0432.INI
Перемещает следующие файлы:
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\_isres.dll в %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\2714e.DLL
- %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\IsUninst.728 в %TEMP%\_ISTMP1.DIR\_ISTMP0.DIR\IsUninst.Exe
Сетевая активность:
Подключается к:
- 'ap#.#pify.org':80
- '<L####NET>.2.100':4782
- 'ip##pi.com':80
- 'fr###eoip.net':80
TCP:
Запросы HTTP GET:
- http://ap#.#pify.org/
- http://fr###eoip.net/xml/
- http://ip##pi.com/json/
UDP:
- DNS ASK ap#.#pify.org
- DNS ASK fr###eoip.net
- DNS ASK ip##pi.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
