Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Logon-Manager] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Help\Windows\Logon\Root\csrss.exe' = '%WINDIR%\Help\Windows\Logon\Root\csrss.exe:*:Enabled:Logon-Manager'
Создает и запускает на исполнение:
- %WINDIR%\Help\Windows\Logon\Root\csrss.exe logon.dll
- %WINDIR%\Help\Windows\Logon\Root\csrss.exe
- %WINDIR%\Help\Windows\Logon\Root\logonservice.exe -i
- %WINDIR%\Help\Windows\Logon\Root\logonservice.exe
Запускает на исполнение:
- <SYSTEM32>\netsh.exe Firewall Add AllowedProgram "%WINDIR%\Help\Windows\Logon\Root\csrss.exe" Logon-Manager ENABLE
- <SYSTEM32>\net1.exe start Logon-Manager
- <SYSTEM32>\cmd.exe /c ""%WINDIR%\Help\Windows\Logon\hide.bat" "
- <SYSTEM32>\attrib.exe +s +h logon\* /D /S
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Help\Windows\Logon\Root\logon.dll
- %WINDIR%\Help\Windows\Logon\Root\upload\2MB Test.rar
- %WINDIR%\Help\Windows\Logon\Root\cygz.dll
- %WINDIR%\Help\Windows\Logon\Root\cygtasn1-3.dll
- %WINDIR%\Help\Windows\Logon\Root\cygwin1.dll
- %WINDIR%\Help\Windows\Logon\Root\logonservice.exe
- %WINDIR%\Help\Windows\Logon\Root\csrss.dll
- %WINDIR%\Help\Windows\Logon\Root\csrss.state.tmp
- %WINDIR%\Help\Windows\Logon\Root\logonservice.ini
- %WINDIR%\Help\Windows\Logon\Root\logonservice.log
- %WINDIR%\Help\Windows\Logon\Root\cygruby18.dll
- %WINDIR%\Help\Windows\Logon\Root\cygcrypt-0.dll
- %WINDIR%\Help\Windows\Logon\Root\cyggcc_s-1.dll
- %WINDIR%\Help\Windows\Logon\Root\csrss.exe
- %WINDIR%\Help\Windows\Logon\hide.bat
- %WINDIR%\Help\Windows\Logon\env.bat
- %WINDIR%\Help\Windows\Logon\Root\cyggcrypt-11.dll
- %WINDIR%\Help\Windows\Logon\Root\cygiconv-2.dll
- %WINDIR%\Help\Windows\Logon\Root\cygintl-8.dll
- %WINDIR%\Help\Windows\Logon\Root\cyggpg-error-0.dll
- %WINDIR%\Help\Windows\Logon\Root\cygGeoIP-1.dll
- %WINDIR%\Help\Windows\Logon\Root\cyggnutls-26.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Help\Windows\Logon\Root\cygruby18.dll
- %WINDIR%\Help\Windows\Logon\Root\cygtasn1-3.dll
- %WINDIR%\Help\Windows\Logon\Root\cygiconv-2.dll
- %WINDIR%\Help\Windows\Logon\Root\cygintl-8.dll
- %WINDIR%\Help\Windows\Logon\Root\cygwin1.dll
- %WINDIR%\Help\Windows\Logon\Root\upload\2MB Test.rar
- %WINDIR%\Help\Windows\Logon\Root\logonservice.exe
- %WINDIR%\Help\Windows\Logon\Root\cygz.dll
- %WINDIR%\Help\Windows\Logon\Root\logon.dll
- %WINDIR%\Help\Windows\Logon\Root\csrss.exe
- %WINDIR%\Help\Windows\Logon\Root\cygcrypt-0.dll
- %WINDIR%\Help\Windows\Logon\hide.bat
- %WINDIR%\Help\Windows\Logon\env.bat
- %WINDIR%\Help\Windows\Logon\Root\cyggcc_s-1.dll
- %WINDIR%\Help\Windows\Logon\Root\cyggnutls-26.dll
- %WINDIR%\Help\Windows\Logon\Root\cyggpg-error-0.dll
- %WINDIR%\Help\Windows\Logon\Root\cyggcrypt-11.dll
- %WINDIR%\Help\Windows\Logon\Root\cygGeoIP-1.dll
Сетевая активность:
Подключается к:
- 'localhost':1044
- 'localhost':1043
- 'ir#.#eromem.com':6667
- 'localhost':1047
- 'localhost':1046
- 'localhost':1037
- 'localhost':1036
- 'ir#.#eromem.com':6668
- 'localhost':1041
- 'localhost':1040
UDP:
- DNS ASK ir#.#eromem.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
