Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe Updater' = 'C:\temp\g34gh2qa.bat'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\reg.exe ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Adobe Updater" /t REG_SZ /d "C:\temp\g34gh2qa.bat" /f
- <SYSTEM32>\msiexec.exe /V
- <SYSTEM32>\msiexec.exe /i C:\temp\opencl.msi /quiet
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\numpy.lib._compiled_base[1].pyd
- C:\temp\numpy.fft.fftpack_lite.pyd
- C:\temp\numpy.lib._compiled_base.pyd
- C:\temp\numpy.linalg.lapack_lite.pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\numpy.linalg.lapack_lite[1].pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\numpy.fft.fftpack_lite[1].pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\numpy.core.scalarmath[1].pyd
- C:\temp\numpy.core.multiarray.pyd
- C:\temp\numpy.core.scalarmath.pyd
- C:\temp\numpy.core.umath.pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\numpy.core.umath[1].pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\numpy.random.mtrand[1].pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\svchost[1].exe
- C:\temp\rtg3qfdA.dll
- C:\temp\svchost.exe
- C:\temp\g34gh2qa.bat
- C:\temp\gweav4ac.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\rtg3qfdA[1].dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\phatk[1].cl
- C:\temp\numpy.random.mtrand.pyd
- C:\temp\phatk.cl
- C:\temp\pyopencl._cl.pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pyopencl._cl[1].pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\numpy.core.multiarray[1].pyd
- C:\temp\lua\script.lua
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\script[1].lua
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\core[1].dll
- C:\temp\lua\f2ga23ea.bat
- C:\temp\lua\socket\core.dll
- C:\temp\lua\lua5.1.dll
- C:\temp\lua\lfs.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lfs[1].dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\lua[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\lua5.1[1].dll
- C:\temp\lua\lua.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\opencl[1].msi
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\naRy18t[1].zip
- C:\temp\bd5E9A1Ce3Af34wASf3As33gA.dll
- C:\temp\naRy18t.zip
- C:\temp\numpy.core._sort.pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\numpy.core._sort[1].pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bd5E9A1Ce3Af34wASf3As33gA[1].dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\b3cg31a[1].exe
- C:\temp\opencl.msi
- C:\temp\b3cg31a.exe
- C:\temp\_socket.pyd
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\_socket[1].pyd
Удаляет следующие файлы:
- C:\temp\lua\script.lua
- C:\temp\lua\socket\core.dll
- C:\temp\opencl.msi
- C:\temp\lua\lua5.1.dll
- C:\temp\lua\f2ga23ea.bat
- C:\temp\lua\lfs.dll
- C:\temp\lua\lua.exe
Сетевая активность:
Подключается к:
- 'dl.##opbox.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- dl.##opbox.com/u/15117340/324g24hgq/numpy.fft.fftpack_lite.pyd
- dl.##opbox.com/u/15117340/324g24hgq/numpy.lib._compiled_base.pyd
- dl.##opbox.com/u/15117340/324g24hgq/numpy.core.umath.pyd
- dl.##opbox.com/u/15117340/324g24hgq/numpy.core.multiarray.pyd
- dl.##opbox.com/u/15117340/324g24hgq/numpy.core.scalarmath.pyd
- dl.##opbox.com/u/15117340/324g24hgq/numpy.linalg.lapack_lite.pyd
- dl.##opbox.com/u/15117340/324g24hgq/rtg3qfdA.dll
- dl.##opbox.com/u/15117340/324g24hgq/svchost.exe
- dl.##opbox.com/u/15117340/324g24hgq/pyopencl._cl.pyd
- dl.##opbox.com/u/15117340/324g24hgq/numpy.random.mtrand.pyd
- dl.##opbox.com/u/15117340/324g24hgq/phatk.cl
- dl.##opbox.com/u/15117340/324g24hgq/lua/script.lua
- dl.##opbox.com/u/15117340/324g24hgq/lua/socket/core.dll
- dl.##opbox.com/u/15117340/324g24hgq/lua/lua5.1.dll
- dl.##opbox.com/u/15117340/324g24hgq/lua/lfs.dll
- dl.##opbox.com/u/15117340/324g24hgq/lua/lua.exe
- dl.##opbox.com/u/15117340/324g24hgq/opencl.msi
- dl.##opbox.com/u/15117340/324g24hgq/naRy18t.zip
- dl.##opbox.com/u/15117340/324g24hgq/numpy.core._sort.pyd
- dl.##opbox.com/u/15117340/324g24hgq/bd5E9A1Ce3Af34wASf3As33gA.dll
- dl.##opbox.com/u/15117340/324g24hgq/b3cg31a.exe
- dl.##opbox.com/u/15117340/324g24hgq/_socket.pyd
UDP:
- DNS ASK dl.##opbox.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
