Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\RemoteAccess] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Themes] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Messenger] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\AudioSrv] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\HidServ] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\imlrkgvmdu' a -sc:\server.exe
- 'C:\ihcesnhhgc' a -sc:\server.exe
- 'C:\ibokkhperc' a -sc:\server.exe
- 'C:\iifikdkfxh' a -sc:\server.exe
- 'C:\iqmhnwrosn' a -sc:\server.exe
- 'C:\ibgkvhvylc' a -sc:\server.exe
- 'C:\jdmtflbuvn' a -sc:\server.exe
- 'C:\hmqrdwsxpu' a -sc:\server.exe
- 'C:\DNFГв2ј¶ГЬВ빤ѕЯ.exe'
- 'C:\server.exe'
- 'C:\imnrhotfvu' a -sc:\server.exe
- 'C:\hxsbumurno' a -sc:\server.exe
- 'C:\hlintqtoko' a -sc:\server.exe
- 'C:\iyyfjkujyu' a -sc:\server.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\51e92691.rdb
- %TEMP%\nbfgoplron.dat
- %TEMP%\hvwcyuwlvp.dat
- <SYSTEM32>\73db5414.rdb
- <Текущая директория>\briibgxhl
- C:\iifikdkfxh
- <Текущая директория>\vqqwggrvs
- <Текущая директория>\jgvnyibgk
- %TEMP%\piguxbywpn.dat
- <Текущая директория>\qxufddipo
- %TEMP%\hjismwdfjh.dat
- <Текущая директория>\mjoynohtd
- %TEMP%\kmxdgwdfhc.dat
- <Текущая директория>\tqkojqiol
- <SYSTEM32>\qwpgeorvtv
- <SYSTEM32>\qfntnimatg
- <SYSTEM32>\f5859b27.rdb
- C:\jdmtflbuvn
- C:\imnrhotfvu
- C:\ibokkhperc
- C:\imlrkgvmdu
- C:\iyyfjkujyu
- C:\hmqrdwsxpu
- C:\DNFГв2ј¶ГЬВ빤ѕЯ.exe
- C:\server.exe
- C:\hxsbumurno
- C:\hlintqtoko
- C:\iqmhnwrosn
- %TEMP%\ftfltlvmdn.dat
- %TEMP%\rjovetpgbd.dat
- <Текущая директория>\qvshjukpo
- <Текущая директория>\spctsnkes
- <Текущая директория>\dspvrxeir
- C:\ihcesnhhgc
- %TEMP%\ddbtynxsef.dat
- C:\ibgkvhvylc
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\DNFГв2ј¶ГЬВ빤ѕЯ.exe
- C:\server.exe
Удаляет следующие файлы:
- C:\hmq
- <SYSTEM32>\qwpgeorvtv
- <SYSTEM32>\qfntnimatg
- <SYSTEM32>\config\SysEvent.Evt
- %TEMP%\rjovetpgbd.dat
- <SYSTEM32>\51e92691.rdb
- <Текущая директория>\qxufddipo
- <Текущая директория>\tqkojqiol
- %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\sjbti.cc3
- <Текущая директория>\spctsnkes
- <Текущая директория>\qvshjukpo
- C:\server.exe
- <Текущая директория>\dspvrxeir
- <Текущая директория>\vqqwggrvs
- <SYSTEM32>\config\AppEvent.Evt
- <SYSTEM32>\config\SecEvent.Evt
- <Текущая директория>\jgvnyibgk
- <Текущая директория>\briibgxhl
Перемещает следующие файлы:
- %TEMP%\rjovetpgbd.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ffops.cc3
- %TEMP%\nbfgoplron.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ilcwx.cc3
- %TEMP%\ftfltlvmdn.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\wikrg.cc3
- C:\ihcesnhhgc в C:\ihc
- C:\imlrkgvmdu в C:\iml
- C:\iqmhnwrosn в C:\iqm
- C:\ibgkvhvylc в C:\ibg
- C:\iifikdkfxh в C:\iif
- C:\jdmtflbuvn в C:\jdm
- C:\iyyfjkujyu в C:\iyy
- C:\hlintqtoko в C:\hli
- C:\hmqrdwsxpu в C:\hmq
- C:\imnrhotfvu в C:\imn
- C:\hxsbumurno в C:\hxs
- %TEMP%\piguxbywpn.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\ffops.cc3
- %TEMP%\hvwcyuwlvp.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\jqkcs.cc3
- C:\ibokkhperc в C:\ibo
- %TEMP%\ddbtynxsef.dat в %ALLUSERSPROFILE%\Application Data\Storm\update\%SESSIONNAME%\sjbti.cc3
Сетевая активность:
Подключается к:
- 'xq#####8601.gicp.net':8000
UDP:
- DNS ASK co##.f.360.cn
- DNS ASK xq#####8601.gicp.net
