Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\gaikjuvej] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE' = '%ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE:*:Enabled:doldoaafev'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE' = '%ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE:*:Enabled:doldoaafev'
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE' /ts2=1
- '%ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE' /Firstime=1
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- firefox.exe
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\tammgRd.sys
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\tammgFd.sys
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\content\filrilj.js
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\Uninstaller.exe
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\tammgOd.sys
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupedraau.dll
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupedraa.exe
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\tammgd.sys
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupewraa.EXE
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\content\jquery4toolbar.js
- <LS_APPDATA>\ikygsadg\content\ygeotnu.js
- <LS_APPDATA>\ikygsadg\content\selxut.js
- <LS_APPDATA>\ikygsadg\content\TrayIcons\logo.ico
- <LS_APPDATA>\ikygsadg\content\whtinmyb.js
- <LS_APPDATA>\ikygsadg\content\jquery4toolbar.js
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\content\ygeotnu.js
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\content\selxut.js
- <LS_APPDATA>\ikygsadg\content\filrilj.js
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\content\whtinmyb.js
- %TEMP%\nsv3.tmp\nsisos.dll
- %TEMP%\boostwebapp_installer__1432700645.txt
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\utils.exe
- %TEMP%\nsv3.tmp\UserInfo.dll
- %TEMP%\nsv3.tmp\nsislog.dll
- %TEMP%\nsv3.tmp\System.dll
- %TEMP%\nsv2.tmp
- %TEMP%\nsv3.tmp\TeosTio.dll
- %TEMP%\nsv3.tmp\StdUtils.dll
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\uibyerbowmhn.dat
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\Kaldebfy.EXE
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\iwulkeia64.exe
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\Kaldebfy64.dll
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\Kaldebfy.dll
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\iwulkeia.exe
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\logo.ico
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\uibyerbowmhnb.dat
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\ToawpoMevb.exe
- %ALLUSERSPROFILE%\Application Data\boostwebapp\1.1.0.31\gupearaa.EXE
Сетевая активность:
Подключается к:
- 's3.##wss.info':80
- 'cd#.##stries.com':80
TCP:
Запросы HTTP GET:
- http://s3.##wss.info/client-cmd/cr.html?ty###################################################################################################################################################################################################################################################################################################
Запросы HTTP POST:
- http://cd#.##stries.com/wrp/ri
- http://cd#.##stries.com/rp/v/image.jpg
UDP:
- DNS ASK s3.##wss.info
- DNS ASK cd#.##stries.com
