Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
- '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\nQcYwQsQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\nisMEMIU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\dSAccUwY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\CUsoIoYI.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\QmoAowkg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\isQUIoko.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\iaoQQoUU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\HYcgMIkE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' %TEMP%\file.vbs
- '<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\hMosYwUI.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\bgskwwQY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\cscript.exe'
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\yOQUsoEc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\sUYsAgco.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\dasIkMwY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\KgQkEMMc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\vOccgkcA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\joogsEIQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\FuAEQQEs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\GyMYwEcE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Dekcogsc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\uaokQcgA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\AsIQEkgs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\siIcEYkk.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\DwEgwoIg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\lUAYgYQE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\gcsksIUI.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\cIIcggYg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\IeEMYcwg.bat" "<Полный путь к вирусу>""
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\reg.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\RCXE.tmp
- %TEMP%\NUoMgoMY.bat
- <Текущая директория>\BOcs.ico
- <Текущая директория>\mIgO.exe
- C:\RCXD.tmp
- %TEMP%\HYcgMIkE.bat
- <Текущая директория>\lwcA.ico
- <Текущая директория>\hYoW.exe
- %TEMP%\iaoQQoUU.bat
- %TEMP%\cuUMEIAQ.bat
- %TEMP%\dQYwAwsU.bat
- C:\RCX10.tmp
- C:\RCXF.tmp
- <Текущая директория>\tyUw.ico
- <Текущая директория>\cEcs.exe
- %TEMP%\IEMQUggU.bat
- %TEMP%\QmoAowkg.bat
- <Текущая директория>\gAso.ico
- C:\RCXA.tmp
- %TEMP%\isQUIoko.bat
- <Текущая директория>\zmMs.ico
- <Текущая директория>\ugUW.exe
- <Текущая директория>\usAu.exe
- C:\RCXC.tmp
- <Текущая директория>\fckY.ico
- <Текущая директория>\Qcwa.exe
- <Текущая директория>\TcsS.exe
- C:\RCXB.tmp
- %TEMP%\iyYkIwkQ.bat
- <Текущая директория>\aUMI.ico
- %TEMP%\nisMEMIU.bat
- %TEMP%\TKgskUMk.bat
- %TEMP%\sUYsAgco.bat
- %TEMP%\DGkUkQAg.bat
- %TEMP%\gqgQIQgc.bat
- %TEMP%\dasIkMwY.bat
- <Текущая директория>\HAIc.exe
- C:\RCX13.tmp
- %TEMP%\hMosYwUI.bat
- C:\RCX14.tmp
- %TEMP%\biEIooQw.bat
- %TEMP%\DGEsskwo.bat
- %TEMP%\bgskwwQY.bat
- <Текущая директория>\CysU.ico
- %TEMP%\YGEMAcEs.bat
- <Текущая директория>\lUUa.exe
- C:\RCX11.tmp
- %TEMP%\CUsoIoYI.bat
- %TEMP%\XOIEIMEM.bat
- %TEMP%\OAEsQAgE.bat
- %TEMP%\nQcYwQsQ.bat
- <Текущая директория>\bQEE.ico
- <Текущая директория>\KcIs.exe
- <Текущая директория>\BeEA.ico
- %TEMP%\yOQUsoEc.bat
- %TEMP%\bggUoIwc.bat
- <Текущая директория>\IcYw.ico
- %TEMP%\EEIEAkQI.bat
- <Текущая директория>\aYMu.exe
- C:\RCX12.tmp
- %TEMP%\dSAccUwY.bat
- <Текущая директория>\wCAQ.ico
- <Текущая директория>\IIQi.exe
- C:\RCX2.tmp
- %ALLUSERSPROFILE%\casg.txt
- %TEMP%\YSEQogIg.bat
- %TEMP%\Dekcogsc.bat
- %TEMP%\cSAEsowc.bat
- %TEMP%\gcsksIUI.bat
- <Текущая директория>\bIIM.exe
- C:\RCX3.tmp
- %TEMP%\IeEMYcwg.bat
- <Текущая директория>\HaQw.ico
- %TEMP%\UoAwowII.bat
- %TEMP%\lUAYgYQE.bat
- %TEMP%\dEwUEIMY.bat
- %TEMP%\GyMYwEcE.bat
- %TEMP%\file.vbs
- %TEMP%\GEAgokEY.bat
- <Текущая директория>\<Имя вируса>
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- %TEMP%\YUwsEEow.bat
- %TEMP%\vOccgkcA.bat
- <Текущая директория>\sQww.exe
- C:\RCX1.tmp
- %TEMP%\joogsEIQ.bat
- %TEMP%\tmcMEYwY.bat
- %TEMP%\JmgEswws.bat
- %TEMP%\FuAEQQEs.bat
- <Текущая директория>\wMos.ico
- %TEMP%\TgUkEkkI.bat
- C:\RCX7.tmp
- %TEMP%\DwEgwoIg.bat
- <Текущая директория>\YEYs.ico
- %TEMP%\siIcEYkk.bat
- %TEMP%\VKAkcQgk.bat
- <Текущая директория>\tuUM.ico
- <Текущая директория>\BEAu.exe
- <Текущая директория>\Egsy.exe
- C:\RCX9.tmp
- %TEMP%\yKUQgAAE.bat
- %TEMP%\KgQkEMMc.bat
- <Текущая директория>\aIgu.exe
- C:\RCX8.tmp
- %TEMP%\SWIcowcg.bat
- <Текущая директория>\Gekk.ico
- <Текущая директория>\sgYG.exe
- %TEMP%\owwYwgcI.bat
- C:\RCX4.tmp
- <Текущая директория>\SAEA.ico
- %TEMP%\cIIcggYg.bat
- %TEMP%\SKUsIkIs.bat
- %TEMP%\AsIQEkgs.bat
- %TEMP%\uaokQcgA.bat
- <Текущая директория>\fKsU.ico
- <Текущая директория>\tkMg.exe
- C:\RCX6.tmp
- %TEMP%\UWMkYMwg.bat
- <Текущая директория>\Wioc.ico
- <Текущая директория>\rAEG.exe
- C:\RCX5.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- %ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
- %HOMEPATH%\fCkYUMIQ\pUccUkoM.exe
Удаляет следующие файлы:
- <Текущая директория>\hYoW.exe
- <Текущая директория>\BOcs.ico
- <Текущая директория>\lwcA.ico
- %TEMP%\NUoMgoMY.bat
- %TEMP%\dQYwAwsU.bat
- <Текущая директория>\tyUw.ico
- %TEMP%\cuUMEIAQ.bat
- <Текущая директория>\cEcs.exe
- <Текущая директория>\mIgO.exe
- <Текущая директория>\gAso.ico
- %TEMP%\iyYkIwkQ.bat
- <Текущая директория>\zmMs.ico
- <Текущая директория>\usAu.exe
- <Текущая директория>\Qcwa.exe
- <Текущая директория>\fckY.ico
- <Текущая директория>\TcsS.exe
- <Текущая директория>\aUMI.ico
- %TEMP%\dasIkMwY.bat
- <Текущая директория>\HAIc.exe
- %TEMP%\gqgQIQgc.bat
- %TEMP%\TKgskUMk.bat
- %TEMP%\YGEMAcEs.bat
- %TEMP%\DGEsskwo.bat
- %TEMP%\DGkUkQAg.bat
- <Текущая директория>\IcYw.ico
- %TEMP%\yOQUsoEc.bat
- <Текущая директория>\bQEE.ico
- %TEMP%\XOIEIMEM.bat
- %TEMP%\OAEsQAgE.bat
- <Текущая директория>\KcIs.exe
- %TEMP%\bggUoIwc.bat
- <Текущая директория>\BeEA.ico
- %TEMP%\EEIEAkQI.bat
- <Текущая директория>\aYMu.exe
- <Текущая директория>\ugUW.exe
- %TEMP%\dEwUEIMY.bat
- %TEMP%\TgUkEkkI.bat
- <Текущая директория>\IIQi.exe
- <Текущая директория>\wCAQ.ico
- <Текущая директория>\HaQw.ico
- %TEMP%\owwYwgcI.bat
- %TEMP%\SKUsIkIs.bat
- <Текущая директория>\bIIM.exe
- %TEMP%\UoAwowII.bat
- %TEMP%\JmgEswws.bat
- %TEMP%\tmcMEYwY.bat
- %TEMP%\YUwsEEow.bat
- %TEMP%\GEAgokEY.bat
- <Текущая директория>\wMos.ico
- %TEMP%\cSAEsowc.bat
- %TEMP%\YSEQogIg.bat
- <Текущая директория>\sQww.exe
- <Текущая директория>\Egsy.exe
- <Текущая директория>\YEYs.ico
- <Текущая директория>\tuUM.ico
- %TEMP%\SWIcowcg.bat
- <Текущая директория>\Gekk.ico
- %TEMP%\IEMQUggU.bat
- %TEMP%\yKUQgAAE.bat
- <Текущая директория>\aIgu.exe
- <Текущая директория>\BEAu.exe
- <Текущая директория>\rAEG.exe
- <Текущая директория>\Wioc.ico
- <Текущая директория>\sgYG.exe
- <Текущая директория>\SAEA.ico
- <Текущая директория>\tkMg.exe
- <Текущая директория>\fKsU.ico
- %TEMP%\UWMkYMwg.bat
- %TEMP%\VKAkcQgk.bat
Перемещает следующие файлы:
- C:\RCXD.tmp в <Текущая директория>\Qcwa.exe
- C:\RCXE.tmp в <Текущая директория>\mIgO.exe
- C:\RCXB.tmp в <Текущая директория>\usAu.exe
- C:\RCXC.tmp в <Текущая директория>\TcsS.exe
- C:\RCXF.tmp в <Текущая директория>\hYoW.exe
- C:\RCX12.tmp в <Текущая директория>\aYMu.exe
- C:\RCX13.tmp в <Текущая директория>\HAIc.exe
- C:\RCX10.tmp в <Текущая директория>\cEcs.exe
- C:\RCX11.tmp в <Текущая директория>\KcIs.exe
- C:\RCXA.tmp в <Текущая директория>\ugUW.exe
- C:\RCX3.tmp в <Текущая директория>\bIIM.exe
- C:\RCX4.tmp в <Текущая директория>\sgYG.exe
- C:\RCX1.tmp в <Текущая директория>\sQww.exe
- C:\RCX2.tmp в <Текущая директория>\IIQi.exe
- C:\RCX5.tmp в <Текущая директория>\rAEG.exe
- C:\RCX8.tmp в <Текущая директория>\Egsy.exe
- C:\RCX9.tmp в <Текущая директория>\aIgu.exe
- C:\RCX6.tmp в <Текущая директория>\tkMg.exe
- C:\RCX7.tmp в <Текущая директория>\BEAu.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '19#.#86.45.170':9999
- '74.##5.232.51':80
- '20#.#7.164.69':9999
- '20#.#19.204.12':9999
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
UDP:
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'aeEkEEcE.exe'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: 'pUccUkoM.exe'
