Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<LS_APPDATA>\hrv.exe" -a "%PROGRAM_FILES%\Internet Explorer\iexplore.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\467176032] 'Name' = '"%TEMP%\2.tmp"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- <LS_APPDATA>\hrv.exe -gav "%TEMP%\cc9b2713.exe"
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c "%TEMP%\deleter.bat"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- opera.exe
- iexplore.exe
- firefox.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\rs7p5787d211j6
- %WINDIR%\Temp\3.tmp
- %ALLUSERSPROFILE%\Application Data\rs7p5787d211j6
- %HOMEPATH%\Templates\rs7p5787d211j6
- %TEMP%\rs7p5787d211j6
- %TEMP%\441177cf.exe
- %TEMP%\cc9b2713.exe
- %TEMP%\deleter.bat
- <LS_APPDATA>\hrv.exe
- %TEMP%\1.tmp
Удаляет следующие файлы:
- %WINDIR%\Temp\3.tmp
- %TEMP%\cc9b2713.exe
- %TEMP%\2.tmp
- <DRIVERS>\etc\hosts
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ro###arof.com':80
- 'ty####miwufuj.com':80
- 'ci###atywo.com':80
- 'pi####kykizanu.com':80
- 'be####wedowigo.com':80
- 'ky####penihyf.com':80
- 'be####qijicy.com':80
- 'gi###epomer.com':80
- 'ti####syhimidy.com':80
- 'we###yger.com':80
- 'je####dukojoz.com':80
- 'ky####viqopoci.com':80
- 'wa####fadezy.com':80
- 'ho###osire.com':80
- 'wo####nanoqe.com':80
- 'hi###edak.com':80
- 'qu###ubica.com':80
- 'te###yjaj.com':80
- 'za###imibuj.com':80
- 'fy###oqywu.com':80
- 'ce###esuho.com':80
- 'cy####dugudi.com':80
- 'go####zavyxiro.com':80
- 'qi###ugugu.com':80
- 'sa####duzipame.com':80
- 'fe####nybyvu.com':80
- 'sy####dyducib.com':80
- 'ja###obik.com':80
- 'va###itefo.com':80
- 'ze####tamado.com':80
UDP:
- DNS ASK ty####miwufuj.com
- DNS ASK ci###atywo.com
- DNS ASK wa####fadezy.com
- DNS ASK gi###epomer.com
- DNS ASK be####qijicy.com
- DNS ASK ky####penihyf.com
- DNS ASK ro###arof.com
- DNS ASK pi####kykizanu.com
- DNS ASK je####dukojoz.com
- DNS ASK we###yger.com
- DNS ASK no###ilulok.com
- DNS ASK ba###unyn.com
- DNS ASK wo####nanoqe.com
- DNS ASK ho###osire.com
- DNS ASK ti####syhimidy.com
- DNS ASK ky####viqopoci.com
- DNS ASK te###yjaj.com
- DNS ASK hi###edak.com
- DNS ASK go####zavyxiro.com
- DNS ASK qu###ubica.com
- DNS ASK ce###esuho.com
- DNS ASK fy###oqywu.com
- DNS ASK za###imibuj.com
- DNS ASK cy####dugudi.com
- DNS ASK sa####duzipame.com
- DNS ASK qi###ugugu.com
- DNS ASK be####wedowigo.com
- DNS ASK fe####nybyvu.com
- DNS ASK va###itefo.com
- DNS ASK ja###obik.com
- DNS ASK sy####dyducib.com
- DNS ASK ze####tamado.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
