Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wmvwinwn' = '%PROGRAM_FILES%\wdwinsa\wmvwinwn.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\wdwinsa\wmvwinwn.exe' = '%PROGRAM_FILES%\wdwinsa\wmvwinwn.exe:*:Enabled:Session Win32'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%PROGRAM_FILES%\wdwinsa\wmvwinwn.exe' = '%PROGRAM_FILES%\wdwinsa\wmvwinwn.exe:*:Enabled:Session Win32'
Создает и запускает на исполнение:
- %PROGRAM_FILES%\wdwinsa\iek.exe ;checkcheck;ccfacil;igempresas;infoseg;bpinet;barclays;
- %PROGRAM_FILES%\wdwinsa\iek.exe ;locaweb;plugin;registro;rjhost;xpg;sudameris;
- %PROGRAM_FILES%\wdwinsa\mlst.exe
- %PROGRAM_FILES%\wdwinsa\iek.exe ;banif;cgd;montepio;bes;bbva;
- %PROGRAM_FILES%\wdwinsa\iek.exe ;banrisul;terra;orkut;serasa;spc;insite;
- %PROGRAM_FILES%\wdwinsa\scrypt.exe ;\sec\fx.crp;nda;1;
- %PROGRAM_FILES%\wdwinsa\wmvwinwn.exe
- %PROGRAM_FILES%\wdwinsa\iek.exe ;itau;bradesco;net;mercadolivre;rural;nossacaixa;
- %PROGRAM_FILES%\wdwinsa\iek.exe ;caixa;real;bb;unibanco;santander;
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c "%PROGRAM_FILES%\wdwinsa\vcdg.bat"
- <SYSTEM32>\netsh.exe firewall add allowedprogram PROGRAM="%PROGRAM_FILES%\wdwinsa\wmvwinwn.exe" NAME="Session Win32" MODE=ENABLE PROFILE=ALL
- <SYSTEM32>\cmd.exe /c "%PROGRAM_FILES%\wdwinsa\bctf.bat"
- <SYSTEM32>\subst.exe v: "%PROGRAM_FILES%"
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\MessengerService]
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\wdwinsa\bpinet.exe
- %PROGRAM_FILES%\wdwinsa\bradesco.exe
- %PROGRAM_FILES%\wdwinsa\cgd.exe
- %PROGRAM_FILES%\wdwinsa\bb.exe
- %PROGRAM_FILES%\wdwinsa\wininfo1.vxd
- %PROGRAM_FILES%\wdwinsa\wmvwinwn.exe
- %PROGRAM_FILES%\wdwinsa\sec\fx.crp
- %PROGRAM_FILES%\wdwinsa\name.drv
- %PROGRAM_FILES%\wdwinsa\vcdg.bat
- %PROGRAM_FILES%\wdwinsa\bctf.bat
- %PROGRAM_FILES%\wdwinsa\dllhosts.exe
- %PROGRAM_FILES%\wdwinsa\gf.exe
- %PROGRAM_FILES%\wdwinsa\iek.exe
- %PROGRAM_FILES%\wdwinsa\mon.exe
- %PROGRAM_FILES%\wdwinsa\montepio.exe
- %PROGRAM_FILES%\wdwinsa\msgex.exe
- %PROGRAM_FILES%\wdwinsa\mlst.exe
- %PROGRAM_FILES%\wdwinsa\irc.exe
- %PROGRAM_FILES%\wdwinsa\itau.exe
- %PROGRAM_FILES%\wdwinsa\live.exe
- %PROGRAM_FILES%\wdwinsa\scrypt.exe
- %PROGRAM_FILES%\wdwinsa\upfile.exe
- %PROGRAM_FILES%\wdwinsa\varios.exe
- %PROGRAM_FILES%\wdwinsa\santander.exe
- %PROGRAM_FILES%\wdwinsa\rds.exe
- %PROGRAM_FILES%\wdwinsa\Readme.exe
- %PROGRAM_FILES%\wdwinsa\replay.exe
Сетевая активность:
Подключается к:
- 'www.go###e.com.br':80
TCP:
Запросы HTTP GET:
- www.go###e.com.br/
UDP:
- DNS ASK www.go###e.com.br
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: '' WindowName: 'kkmfhfteruu6erg'
- ClassName: '' WindowName: 'Project1'
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
