Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'offy4' = '%APPDATA%\wawc.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\wawc.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\qiwpjs0on.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\qiwpjs0on.bat
- %APPDATA%\wawc.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
