Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'e8ipd' = '%APPDATA%\4udt.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\4udt.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\6yc5z9g44.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\6yc5z9g44.bat
- %APPDATA%\4udt.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
