Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'a0817e45544c1762944d43fc12564803' = '"%TEMP%\Google Chrome.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'a0817e45544c1762944d43fc12564803' = '"%TEMP%\Google Chrome.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%TEMP%\BpmosJLC.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%TEMP%\GisOCajl.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\Google Chrome.exe' = '%TEMP%\Google Chrome.exe:*:Enabled:Google Chrome.exe'
Создает и запускает на исполнение:
- '%TEMP%\Google Chrome.exe'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\gleawrq.jpg
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6.tmp" "%TEMP%\CSC5.tmp"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\Google Chrome.exe" "Google Chrome.exe" ENABLE
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "" /t REG_SZ /d "%TEMP%\GisOCajl.exe
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\a1vccjnq.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3.tmp" "%TEMP%\CSC2.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\aeefeux1.cmdline"
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "" /t REG_SZ /d "%TEMP%\BpmosJLC.exe
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %TEMP%\uplbxuv.jpg
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\a1vccjnq.out
- %TEMP%\CSC5.tmp
- %TEMP%\tmp4.tmp.txt
- %TEMP%\a1vccjnq.cmdline
- %TEMP%\gleawrq.jpg
- %TEMP%\GisOCajl.exe
- %TEMP%\RES6.tmp
- %TEMP%\a1vccjnq.dll
- %TEMP%\Google Chrome.exe
- %TEMP%\aeefeux1.out
- %TEMP%\CSC2.tmp
- %TEMP%\tmp1.tmp.txt
- %TEMP%\aeefeux1.cmdline
- %TEMP%\uplbxuv.jpg
- %TEMP%\BpmosJLC.exe
- %TEMP%\RES3.tmp
- %TEMP%\aeefeux1.dll
Удаляет следующие файлы:
- %TEMP%\a1vccjnq.cmdline
- %TEMP%\CSC5.tmp
- %TEMP%\RES6.tmp
- %TEMP%\tmp4.tmp.txt
- %TEMP%\a1vccjnq.dll
- %TEMP%\a1vccjnq.out
- %TEMP%\aeefeux1.out
- %TEMP%\CSC2.tmp
- %TEMP%\RES3.tmp
- %TEMP%\tmp1.tmp.txt
- %TEMP%\aeefeux1.dll
- %TEMP%\aeefeux1.cmdline
Сетевая активность:
Подключается к:
- 'ou#####ghr06.no-ip.biz':5552
UDP:
- DNS ASK ou#####ghr06.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
