Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WE8j19hLHEi.exe' = '"<LS_APPDATA>\pmeBOo2re5Y\WE8j19hLHEi.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Command Processor] 'Autorun' = '"<LS_APPDATA>\pmeBOo2re5Y\WE8j19hLHEi.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'cmd.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WE8j19hLHEi.exe' = '"<LS_APPDATA>\pmeBOo2re5Y\WE8j19hLHEi.exe"'
- [<HKCU>\Software\Microsoft\Command Processor] 'Autorun' = '"<LS_APPDATA>\pmeBOo2re5Y\WE8j19hLHEi.exe"'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'cmd.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- ecmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\nmramdtuuk[1]
- %TEMP%\xGzYteVPqC9
- <Полный путь к вирусу>
- <LS_APPDATA>\pmeBOo2re5Y\WE8j19hLHEi.exe
Удаляет следующие файлы:
- %TEMP%\xGzYteVPqC9
Сетевая активность:
Подключается к:
- 'nm###dtuuk.at':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- nm###dtuuk.at/?eH########################################################################################################################################################################################
UDP:
- DNS ASK nm###dtuuk.at
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'Kg '
- ClassName: '(null)' WindowName: 'cgx Zrns'
- ClassName: '(null)' WindowName: 'uTuvPkof Dtr'
- ClassName: '(null)' WindowName: 'sq ylglzzRoD'
- ClassName: '(null)' WindowName: 'URiTx vLZh'
- ClassName: '(null)' WindowName: 'bhob ztv'
- ClassName: '(null)' WindowName: 'NYiypeW rv '
- ClassName: '(null)' WindowName: 'kV kpWjt'
- ClassName: '(null)' WindowName: 'ru IX'
- ClassName: '(null)' WindowName: 'jdLHtjh'
- ClassName: '(null)' WindowName: 'vbWljmFu'
- ClassName: '(null)' WindowName: 'v YW hqtdd'
- ClassName: '(null)' WindowName: ' SglUeKkg'
- ClassName: '(null)' WindowName: 'S Z '
- ClassName: '(null)' WindowName: 'oGljnioml gKnn h'
- ClassName: '(null)' WindowName: 'bRqZJK szMbF'
- ClassName: '(null)' WindowName: 'iLuewwKb'
- ClassName: '(null)' WindowName: 'nbphkn Che '
- ClassName: '(null)' WindowName: 'LeObd'
- ClassName: '(null)' WindowName: 'yx utyxowdteowavzo'
- ClassName: '(null)' WindowName: 'kPxqm'
- ClassName: '(null)' WindowName: 'EnyxHasOv'
- ClassName: '(null)' WindowName: 'uDuBkKpWLpRdzt'
- ClassName: '(null)' WindowName: 'lKnXDXtmU'
- ClassName: '(null)' WindowName: 'm zvbkQDq'
- ClassName: '(null)' WindowName: 'ZCFPVrt Efe'
- ClassName: '(null)' WindowName: 'pckhGVqm pfD'
- ClassName: '(null)' WindowName: 'DkzpZJ'
- ClassName: '(null)' WindowName: 'qyG hCb'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'xdv wOImn'
- ClassName: '(null)' WindowName: 'xvCpCtl'
- ClassName: '(null)' WindowName: 'tm aU xr'
- ClassName: '(null)' WindowName: 'f amx Lp'
- ClassName: '(null)' WindowName: ' fd znnXg'
- ClassName: '(null)' WindowName: 'gy sHl'
- ClassName: '(null)' WindowName: 'yfqj Yfhc '
- ClassName: '(null)' WindowName: 'juc mL '
- ClassName: '(null)' WindowName: 'rdKjevB'
- ClassName: '(null)' WindowName: 'pYbx'
- ClassName: '(null)' WindowName: 'q fvpw'
- ClassName: '(null)' WindowName: 'an '
- ClassName: '(null)' WindowName: 'AhLpBHjwg '
- ClassName: '(null)' WindowName: 'nougpfpi '
- ClassName: '(null)' WindowName: 'eyr bfjdxt'
- ClassName: '(null)' WindowName: 'kNv'
- ClassName: '(null)' WindowName: 'Y sj eP'
- ClassName: '(null)' WindowName: 'azFUqnx gNsQsi'
- ClassName: '(null)' WindowName: 'kChjCXhg'
- ClassName: '(null)' WindowName: 'rblbrYMb'
- ClassName: '(null)' WindowName: 'KfBl bVU'
- ClassName: '(null)' WindowName: 'e '
- ClassName: '(null)' WindowName: 'uXNPbevel'
- ClassName: '(null)' WindowName: 'IthRlw'
- ClassName: '(null)' WindowName: ' Shtx ca'
- ClassName: '(null)' WindowName: 'zzGtpDQg'
- ClassName: '(null)' WindowName: 'cb r'
- ClassName: '(null)' WindowName: 'hbeitK hplYeky'
- ClassName: '(null)' WindowName: 'Mh '
- ClassName: '(null)' WindowName: ' lH j Y'
- ClassName: '(null)' WindowName: 'whcoywXqAEKx'
- ClassName: '(null)' WindowName: ' jgVwppKvJw'
- ClassName: '(null)' WindowName: 'biuZb'
- ClassName: '(null)' WindowName: 'xR yb UyDpau'
- ClassName: '(null)' WindowName: 'oypXoypYubpvPnxnI'
- ClassName: '(null)' WindowName: 'mhRgsp'
- ClassName: '(null)' WindowName: 'mW tzSyxps'
- ClassName: '(null)' WindowName: 'gDXcSwgS cAmvziik'
- ClassName: '(null)' WindowName: 'XGwu '
- ClassName: '(null)' WindowName: 'Porj mAFrAVJ'
- ClassName: '(null)' WindowName: 'v U'
- ClassName: '(null)' WindowName: 'dcqbnU b'
- ClassName: '(null)' WindowName: 'vbu'
- ClassName: '(null)' WindowName: 'vL wklwky ebN'
- ClassName: '(null)' WindowName: 'dvhoe Gl'
- ClassName: '(null)' WindowName: 'qahRh'
- ClassName: '(null)' WindowName: 'wxeVzq ouxt'
- ClassName: '(null)' WindowName: 'vCcimfwwkSb iV Bkokl'
- ClassName: '(null)' WindowName: 'turneerOh'
- ClassName: '(null)' WindowName: 'nB Tj'
- ClassName: '(null)' WindowName: 'sgdE ybB'
- ClassName: '(null)' WindowName: ' iibbfmzzr'
- ClassName: '(null)' WindowName: 'tDSK'
- ClassName: '(null)' WindowName: ' JxNqkob XpTp'
- ClassName: '(null)' WindowName: 'duxo Lw '
- ClassName: '(null)' WindowName: 'ymmrnbda'
- ClassName: '(null)' WindowName: 'qFRghM z'
- ClassName: '(null)' WindowName: 'ynanLgUjruGKivSz'
- ClassName: '(null)' WindowName: 'lbTx '
