Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'efjd4f' = '%TEMP%\k5rcv.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\k5rcv.exe' -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
- '%TEMP%\k5rcv.exe'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %TEMP%\mdinstall.inf
- '<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\cmd.exe' /c %TEMP%\kcrkenui.bat
- '<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
- '<SYSTEM32>\net.exe' stop "Security Center"
- '<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
- '<SYSTEM32>\net1.exe' stop "Security Center"
- '<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\mdinstall.inf
- %TEMP%\kcrkenui.bat
- %TEMP%\k5rcv.exe
- %TEMP%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\MouseDriver.bat
Удаляет следующие файлы:
- %TEMP%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
