Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
- '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Запускает на исполнение:
- '<SYSTEM32>\cscript.exe'
- '<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\vIIscAIw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\KMEkgwEg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\xsoIAgww.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\gUQgckUQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\wQskgIII.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\dygQIQYQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\OaQAcwgI.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ZAQoEoMU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\lisUAEQM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\LaEkscgo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe'
- '<SYSTEM32>\cscript.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\EIkQQgoc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\yQIcwUAs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\puoswYoU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\swUMsUgA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\VycYAwkU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ngoAokUE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tCwoMkos.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\beUscocQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\XysQIMIY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\dMosgIQQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\gAIIYYYE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
- '<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\QsYAUwwY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\KikYksww.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\fYocQcUs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\EkowgckM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\dmowYMso.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\BOAUgcQg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\AAsYAcYw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\EakwEwME.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\YyUkgwwo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\bCMUwsAI.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\uUgksYYw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\KmQAsYsE.bat" "<Полный путь к вирусу>""
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\reg.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\gUQgckUQ.bat
- C:\RCX10.tmp
- %TEMP%\dygQIQYQ.bat
- %TEMP%\UIoMIgAI.bat
- <Текущая директория>\AWcc.ico
- %TEMP%\wQskgIII.bat
- %TEMP%\xyEoYksk.bat
- <Текущая директория>\ncgq.exe
- <Текущая директория>\nQsc.ico
- %TEMP%\OaQAcwgI.bat
- %TEMP%\qKwEwAow.bat
- <Текущая директория>\hqUk.ico
- %TEMP%\wqwcckIo.bat
- C:\RCX11.tmp
- <Текущая директория>\Zcou.exe
- %TEMP%\ZAQoEoMU.bat
- %TEMP%\EAQAIUkc.bat
- C:\RCXC.tmp
- <Текущая директория>\mYwS.exe
- <Текущая директория>\pMwM.exe
- <Текущая директория>\kgMc.ico
- C:\RCXB.tmp
- <Текущая директория>\hEQa.exe
- %TEMP%\tcUQAckE.bat
- <Текущая директория>\yEkc.ico
- C:\RCXD.tmp
- <Текущая директория>\tKwc.ico
- %TEMP%\GkIAwUko.bat
- C:\RCXF.tmp
- <Текущая директория>\sskq.exe
- <Текущая директория>\ouUk.ico
- %TEMP%\ngoAokUE.bat
- C:\RCXE.tmp
- <Текущая директория>\PMYw.exe
- <Текущая директория>\xAsq.exe
- C:\RCX14.tmp
- <Текущая директория>\eMkg.exe
- %TEMP%\NIEkwUYQ.bat
- %TEMP%\LaEkscgo.bat
- %TEMP%\VycYAwkU.bat
- %TEMP%\FmoEkIUk.bat
- <Текущая директория>\LqAM.ico
- %TEMP%\HoAgUgcc.bat
- %TEMP%\VWIkwAsU.bat
- %TEMP%\eCMMIYMI.bat
- <Текущая директория>\ZwgG.exe
- %TEMP%\Lwsckwck.bat
- C:\RCX15.tmp
- %TEMP%\HOMAkEAk.bat
- %TEMP%\lisUAEQM.bat
- <Текущая директория>\NmMA.ico
- %TEMP%\EIkQQgoc.bat
- %TEMP%\KMEkgwEg.bat
- %TEMP%\oUQUMAoY.bat
- %TEMP%\puoswYoU.bat
- %TEMP%\zwYEwkMw.bat
- C:\RCX12.tmp
- %TEMP%\vIIscAIw.bat
- %TEMP%\xsoIAgww.bat
- %TEMP%\FsUQAEMA.bat
- <Текущая директория>\vYkg.ico
- %TEMP%\swUMsUgA.bat
- %TEMP%\yQIcwUAs.bat
- %TEMP%\FUcEEEcg.bat
- %TEMP%\bkIsUoAA.bat
- %TEMP%\gcEEQkcE.bat
- <Текущая директория>\coIE.exe
- %TEMP%\GCMYMEIs.bat
- C:\RCX13.tmp
- <Текущая директория>\yggM.ico
- <Текущая директория>\Gwgq.exe
- <Текущая директория>\XAgc.ico
- %TEMP%\KikYksww.bat
- C:\RCX2.tmp
- %TEMP%\FiAwUUIs.bat
- %TEMP%\gAIIYYYE.bat
- %TEMP%\TEgIQIUg.bat
- %TEMP%\dMosgIQQ.bat
- %TEMP%\aaQAEQks.bat
- %TEMP%\EakwEwME.bat
- %TEMP%\xYQUwEYI.bat
- <Текущая директория>\FykI.ico
- %TEMP%\WCQEIscU.bat
- <Текущая директория>\dIsk.ico
- %TEMP%\YyUkgwwo.bat
- C:\RCX3.tmp
- <Текущая директория>\cwkm.exe
- %TEMP%\file.vbs
- %TEMP%\QsYAUwwY.bat
- %TEMP%\beUscocQ.bat
- %TEMP%\nGoAsUQM.bat
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- <Текущая директория>\<Имя вируса>
- %TEMP%\oaMoswQA.bat
- %TEMP%\ZKwEwYYc.bat
- C:\RCX1.tmp
- %TEMP%\XysQIMIY.bat
- %ALLUSERSPROFILE%\casg.txt
- %TEMP%\mmYAUUoU.bat
- <Текущая директория>\qsAk.ico
- %TEMP%\tCwoMkos.bat
- <Текущая директория>\hwko.exe
- %TEMP%\ryEgkscE.bat
- <Текущая директория>\acgw.exe
- %TEMP%\AAsYAcYw.bat
- C:\RCX7.tmp
- <Текущая директория>\moky.exe
- <Текущая директория>\ggYM.ico
- %TEMP%\zikkEgsY.bat
- %TEMP%\dmowYMso.bat
- <Текущая директория>\IEME.exe
- <Текущая директория>\bUYI.ico
- C:\RCX8.tmp
- <Текущая директория>\OgUi.exe
- <Текущая директория>\KGcw.ico
- %TEMP%\BOAUgcQg.bat
- C:\RCXA.tmp
- <Текущая директория>\HQQI.ico
- %TEMP%\mmsEAYQg.bat
- C:\RCX9.tmp
- <Текущая директория>\MoIU.exe
- <Текущая директория>\CIoU.ico
- %TEMP%\EIUkcUgw.bat
- C:\RCX5.tmp
- <Текущая директория>\zwAc.exe
- %TEMP%\bCMUwsAI.bat
- C:\RCX4.tmp
- %TEMP%\KmQAsYsE.bat
- %TEMP%\BaUsoEoU.bat
- %TEMP%\uUgksYYw.bat
- <Текущая директория>\zogO.exe
- %TEMP%\fYocQcUs.bat
- %TEMP%\OEckAUgA.bat
- C:\RCX6.tmp
- %TEMP%\EkowgckM.bat
- %TEMP%\QEsUEgEc.bat
- <Текущая директория>\sgko.ico
- %TEMP%\LkcMgckI.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- %ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
- %HOMEPATH%\fCkYUMIQ\pUccUkoM.exe
Удаляет следующие файлы:
- <Текущая директория>\ncgq.exe
- <Текущая директория>\AWcc.ico
- %TEMP%\xyEoYksk.bat
- %TEMP%\UIoMIgAI.bat
- %TEMP%\EAQAIUkc.bat
- <Текущая директория>\nQsc.ico
- %TEMP%\wqwcckIo.bat
- %TEMP%\qKwEwAow.bat
- <Текущая директория>\Zcou.exe
- <Текущая директория>\tKwc.ico
- <Текущая директория>\yEkc.ico
- <Текущая директория>\pMwM.exe
- %TEMP%\tcUQAckE.bat
- <Текущая директория>\mYwS.exe
- <Текущая директория>\kgMc.ico
- %TEMP%\GkIAwUko.bat
- <Текущая директория>\sskq.exe
- <Текущая директория>\PMYw.exe
- <Текущая директория>\ouUk.ico
- %TEMP%\FsUQAEMA.bat
- %TEMP%\NIEkwUYQ.bat
- %TEMP%\FUcEEEcg.bat
- <Текущая директория>\vYkg.ico
- %TEMP%\HoAgUgcc.bat
- %TEMP%\VWIkwAsU.bat
- %TEMP%\lisUAEQM.bat
- <Текущая директория>\LqAM.ico
- <Текущая директория>\eMkg.exe
- %TEMP%\HOMAkEAk.bat
- <Текущая директория>\coIE.exe
- %TEMP%\zwYEwkMw.bat
- <Текущая директория>\hqUk.ico
- %TEMP%\oUQUMAoY.bat
- <Текущая директория>\xAsq.exe
- %TEMP%\gcEEQkcE.bat
- %TEMP%\puoswYoU.bat
- %TEMP%\FmoEkIUk.bat
- %TEMP%\GCMYMEIs.bat
- %TEMP%\bkIsUoAA.bat
- %TEMP%\xYQUwEYI.bat
- <Текущая директория>\cwkm.exe
- <Текущая директория>\Gwgq.exe
- <Текущая директория>\XAgc.ico
- <Текущая директория>\dIsk.ico
- <Текущая директория>\acgw.exe
- <Текущая директория>\FykI.ico
- %TEMP%\WCQEIscU.bat
- %TEMP%\BaUsoEoU.bat
- %TEMP%\aaQAEQks.bat
- %TEMP%\ZKwEwYYc.bat
- %TEMP%\ryEgkscE.bat
- %TEMP%\oaMoswQA.bat
- %TEMP%\nGoAsUQM.bat
- %TEMP%\mmYAUUoU.bat
- %TEMP%\FiAwUUIs.bat
- %TEMP%\TEgIQIUg.bat
- <Текущая директория>\hwko.exe
- <Текущая директория>\qsAk.ico
- %TEMP%\EIUkcUgw.bat
- %TEMP%\mmsEAYQg.bat
- <Текущая директория>\MoIU.exe
- <Текущая директория>\moky.exe
- <Текущая директория>\ggYM.ico
- <Текущая директория>\HQQI.ico
- <Текущая директория>\hEQa.exe
- <Текущая директория>\yggM.ico
- <Текущая директория>\OgUi.exe
- <Текущая директория>\KGcw.ico
- <Текущая директория>\bUYI.ico
- <Текущая директория>\zwAc.exe
- <Текущая директория>\CIoU.ico
- %TEMP%\QEsUEgEc.bat
- %TEMP%\LkcMgckI.bat
- %TEMP%\OEckAUgA.bat
- %TEMP%\zikkEgsY.bat
- <Текущая директория>\IEME.exe
- <Текущая директория>\zogO.exe
- <Текущая директория>\sgko.ico
Перемещает следующие файлы:
- C:\RCXE.tmp в <Текущая директория>\PMYw.exe
- C:\RCXF.tmp в <Текущая директория>\sskq.exe
- C:\RCXD.tmp в <Текущая директория>\pMwM.exe
- C:\RCXB.tmp в <Текущая директория>\hEQa.exe
- C:\RCXC.tmp в <Текущая директория>\mYwS.exe
- C:\RCX13.tmp в <Текущая директория>\coIE.exe
- C:\RCX14.tmp в <Текущая директория>\eMkg.exe
- C:\RCX12.tmp в <Текущая директория>\xAsq.exe
- C:\RCX10.tmp в <Текущая директория>\ncgq.exe
- C:\RCX11.tmp в <Текущая директория>\Zcou.exe
- C:\RCX4.tmp в <Текущая директория>\acgw.exe
- C:\RCX5.tmp в <Текущая директория>\zwAc.exe
- C:\RCX3.tmp в <Текущая директория>\cwkm.exe
- C:\RCX1.tmp в <Текущая директория>\hwko.exe
- C:\RCX2.tmp в <Текущая директория>\Gwgq.exe
- C:\RCX9.tmp в <Текущая директория>\MoIU.exe
- C:\RCXA.tmp в <Текущая директория>\OgUi.exe
- C:\RCX8.tmp в <Текущая директория>\moky.exe
- C:\RCX6.tmp в <Текущая директория>\zogO.exe
- C:\RCX7.tmp в <Текущая директория>\IEME.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '19#.#86.45.170':9999
- '74.##5.232.51':80
- '20#.#7.164.69':9999
- '20#.#19.204.12':9999
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
UDP:
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'pUccUkoM.exe'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: 'aeEkEEcE.exe'
