Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'enxk' = '%APPDATA%\mp7z.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\mp7z.exe' -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
- '%APPDATA%\mp7z.exe'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- '<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\cmd.exe' /c "%APPDATA%\h9ngajrf.bat"
- '<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
- '<SYSTEM32>\net.exe' stop "Security Center"
- '<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
- '<SYSTEM32>\net1.exe' stop "Security Center"
- '<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\h9ngajrf.bat
- %APPDATA%\mp7z.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
