Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\Insto_L_72.exe' (загружен из сети Интернет)
- '<SYSTEM32>\butypt_20l5_0980218.exe' (загружен из сети Интернет)
- '<SYSTEM32>\yb_29-0.exe' (загружен из сети Интернет)
- '<SYSTEM32>\xxxx_762_11009.exe' (загружен из сети Интернет)
- '<SYSTEM32>\xxoo.exe' (загружен из сети Интернет)
- '<SYSTEM32>\setup_t10300.exe' (загружен из сети Интернет)
- '<SYSTEM32>\MTViewbuildmtview_125.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\Insto_L_72.exe'
- '<SYSTEM32>\butypt_20l5_0980218.exe'
- '<SYSTEM32>\yb_29-0.exe'
- '<SYSTEM32>\xxxx_762_11009.exe'
- '<SYSTEM32>\xxoo.exe'
- '<SYSTEM32>\setup_t10300.exe'
- '<SYSTEM32>\MTViewbuildmtview_125.exe'
Завершает или пытается завершить
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\Insto_L_72.exe
- <SYSTEM32>\butypt_20l5_0980218.exe
- <SYSTEM32>\yb_29-0.exe
- <SYSTEM32>\xxxx_762_11009.exe
- <SYSTEM32>\xxoo.exe
- <SYSTEM32>\setup_t10300.exe
- <SYSTEM32>\MTViewbuildmtview_125.exe
Сетевая активность:
Подключается к:
- '9.###tvip.com':80
- 'xx#.#shgg.net':80
- 'ww##.##3.ms.hiv-hiv.com':80
- 'cd#.#ii678.com':80
- 'do##.#eituview.com':80
- '14#.#.131.218':80
- 'localhost':1038
- 'do##.#tu98fei.com':80
- '14#.#.119.145':80
TCP:
Запросы HTTP GET:
- http://cd#.#ii678.com/facai/butypt_20l5_0980218.exe
- http://9.###tvip.com/down/Insto_L_72.exe
- http://14#.#.131.218/12345.htm
- http://ww##.##3.ms.hiv-hiv.com/yb_29-0.exe
- http://xx#.#shgg.net/feixun/xxxx_762_11009.exe
- http://14#.#.119.145/xxoo.exe
- http://14#.#.131.218/c.htm?27###########
- http://do##.#eituview.com/MTViewbuildmtview_125.exe
- http://do##.#tu98fei.com/hezi/jm/setup_t10300.exe
UDP:
- DNS ASK 9.###tvip.com
- DNS ASK cd#.#ii678.com
- DNS ASK ww##.##3.ms.hiv-hiv.com
- DNS ASK do##.#tu98fei.com
- DNS ASK do##.#eituview.com
- DNS ASK xx#.#shgg.net
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '__cd75efb816b2cc__.exe'
- ClassName: '' WindowName: 'sro_client.exe'
- ClassName: '' WindowName: 'kb_cli.exe'
- ClassName: '' WindowName: 'jinzhiguanji.exe'
- ClassName: '' WindowName: 'dumper_net.exe'
- ClassName: '' WindowName: 'ZZ__cd75efb816b2cc__.exe'
- ClassName: '' WindowName: 'el_cli.ex'
- ClassName: '' WindowName: 'bc_loader.exe'
- ClassName: '' WindowName: 'taskmgr.exe'
- ClassName: '' WindowName: 'kb_cli.ex'
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
