Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '*' = '"%ALLUSERSPROFILE%\MalwareBytes0\svchost.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'Debugger' = 'wuauc'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mmc.exe.2A9iV15S5
- <SYSTEM32>\Firewall.cpl.tQ7Hr
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\Firewall.cpl.q86429R7 файлом <SYSTEM32>\Firewall.cpl.q86429R7
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\MalwareBytes0\procmon.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsw1A.tmp
- %TEMP%\nso1B.tmp\AWMTwNkLsC.dll
- %TEMP%\nsb1D.tmp
- %TEMP%\nst18.tmp\AWMTwNkLsC.dll
- %TEMP%\nst15.tmp\AWMTwNkLsC.dll
- %TEMP%\nsc14.tmp\AWMTwNkLsC.dll
- %TEMP%\nsc17.tmp
- %TEMP%\nsh24.tmp\AWMTwNkLsC.dll
- <SYSTEM32>\firewall.cpl.new
- %TEMP%\nsj26.tmp
- %TEMP%\nsj23.tmp
- %TEMP%\nsn20.tmp
- %TEMP%\nsj1E.tmp\AWMTwNkLsC.dll
- %TEMP%\nsa21.tmp\AWMTwNkLsC.dll
- %TEMP%\nspE.tmp\AWMTwNkLsC.dll
- %ALLUSERSPROFILE%\MalwareBytes0\procmon.exe
- %TEMP%\nsw5.tmp
- %TEMP%\nsy7.tmp
- <SYSTEM32>\mmc.exe:Zone.Identifier
- %TEMP%\nsq2.tmp
- %TEMP%\regMTwBrsVPPAYHerkH
- %TEMP%\nsp3.tmp\AWMTwNkLsC.dll
- %TEMP%\nsbF.tmp\AWMTwNkLsC.dll
- %TEMP%\nsj12.tmp
- %TEMP%\nsb13.tmp
- %TEMP%\nsc9.tmp\AWMTwNkLsC.dll
- %TEMP%\nsy8.tmp\AWMTwNkLsC.dll
- %TEMP%\nszB.tmp
- %TEMP%\nshD.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\MalwareBytes0\procmon.exe
Удаляет следующие файлы:
- %TEMP%\nst18.tmp\AWMTwNkLsC.dll
- %TEMP%\nsc14.tmp\AWMTwNkLsC.dll
- %TEMP%\nst15.tmp\AWMTwNkLsC.dll
- %TEMP%\nso1B.tmp\AWMTwNkLsC.dll
- %TEMP%\nsa21.tmp\AWMTwNkLsC.dll
- %TEMP%\nsj1E.tmp\AWMTwNkLsC.dll
- <SYSTEM32>\mmc.exe:Zone.Identifier
- <SYSTEM32>\a@NJynCyIiospsYVFL
- <SYSTEM32>\kzITbSHqluMsnHYqSzgFBy
- %TEMP%\nsp3.tmp\AWMTwNkLsC.dll
- %TEMP%\nsy8.tmp\AWMTwNkLsC.dll
- %TEMP%\nspE.tmp\AWMTwNkLsC.dll
- %TEMP%\nsbF.tmp\AWMTwNkLsC.dll
- %TEMP%\nsc9.tmp\AWMTwNkLsC.dll
Перемещает следующие системные файлы:
- <SYSTEM32>\GtlYWAjNzzFTrZdTRtBDy в <SYSTEM32>\tZdDRBveTHwxVZyEuD
- <SYSTEM32>\YGTFiLXNdpuUvLAF в <SYSTEM32>\GtlYWAjNzzFTrZdTRtBDy
- <SYSTEM32>\KiAIOfBQtONQLvjEoIq в <SYSTEM32>\IDenWWfpQVdOFclvHBPC
- <SYSTEM32>\tZdDRBveTHwxVZyEuD в <SYSTEM32>\KiAIOfBQtONQLvjEoIq
- <SYSTEM32>\mmc.exe.2A9iV15S5 в <SYSTEM32>\`vOAMKdEiGECfDEtSKl
- <SYSTEM32>\mmc.exe в <SYSTEM32>\mmc.exe.2A9iV15S5
- <SYSTEM32>\fPkafjgnQwUkaqfSR в <SYSTEM32>\YGTFiLXNdpuUvLAF
- <SYSTEM32>\`vOAMKdEiGECfDEtSKl в <SYSTEM32>\fPkafjgnQwUkaqfSR
- <SYSTEM32>\qNTgjXLciKYlMgeJsIb в <SYSTEM32>\YxpCapImMoKxIyqZxC
- <SYSTEM32>\EENMDNvrBmXZuLopnqox в <SYSTEM32>\qNTgjXLciKYlMgeJsIb
- <SYSTEM32>\nsfHlOQJPjklDnELYzbiw в <SYSTEM32>\a@NJynCyIiospsYVFL
- <SYSTEM32>\YxpCapImMoKxIyqZxC в <SYSTEM32>\nsfHlOQJPjklDnELYzbiw
- <SYSTEM32>\EJnZKHLOWMeBqenRn в <SYSTEM32>\swKTOhDMDhkGdbjpKsR
- <SYSTEM32>\IDenWWfpQVdOFclvHBPC в <SYSTEM32>\EJnZKHLOWMeBqenRn
- <SYSTEM32>\EquZySaTYllnjUEVUMs в <SYSTEM32>\EENMDNvrBmXZuLopnqox
- <SYSTEM32>\swKTOhDMDhkGdbjpKsR в <SYSTEM32>\EquZySaTYllnjUEVUMs
- <SYSTEM32>\jKnMYnQegtHAlDjjVri в <SYSTEM32>\hNxFIFqpCNwIgSvVrYHQeU
- <SYSTEM32>\hRSVAuXRyHgRFLdmjQdt в <SYSTEM32>\jKnMYnQegtHAlDjjVri
- <SYSTEM32>\UJpuQcynHOKgaIbfYOn в <SYSTEM32>\bmoKGAYzAhWrcmPrhXkv
- <SYSTEM32>\hNxFIFqpCNwIgSvVrYHQeU в <SYSTEM32>\UJpuQcynHOKgaIbfYOn
- <SYSTEM32>\Firewall.cpl.tQ7Hr в <SYSTEM32>\diCrmvmRGyJPBfefcv
- <SYSTEM32>\firewall.cpl в <SYSTEM32>\Firewall.cpl.tQ7Hr
- <SYSTEM32>\zIngIdMDNKIHJkWyblme в <SYSTEM32>\hRSVAuXRyHgRFLdmjQdt
- <SYSTEM32>\diCrmvmRGyJPBfefcv в <SYSTEM32>\zIngIdMDNKIHJkWyblme
- <SYSTEM32>\bDgNkqSTKyLOcjizGEo в <SYSTEM32>\XAcfcvpPKLYkZfvgBiydGs
- <SYSTEM32>\AfxnUgIqbKjCmMOcGNnTA в <SYSTEM32>\bDgNkqSTKyLOcjizGEo
- <SYSTEM32>\TUoXZAxHVTfMuxNhTnVgI в <SYSTEM32>\kzITbSHqluMsnHYqSzgFBy
- <SYSTEM32>\XAcfcvpPKLYkZfvgBiydGs в <SYSTEM32>\TUoXZAxHVTfMuxNhTnVgI
- <SYSTEM32>\nqEUHthddTdOXvaziFQj в <SYSTEM32>\OLkwzRfWEFFDkAmjXwL
- <SYSTEM32>\bmoKGAYzAhWrcmPrhXkv в <SYSTEM32>\nqEUHthddTdOXvaziFQj
- <SYSTEM32>\yOSpqBkedpflFSrnSY в <SYSTEM32>\AfxnUgIqbKjCmMOcGNnTA
- <SYSTEM32>\OLkwzRfWEFFDkAmjXwL в <SYSTEM32>\yOSpqBkedpflFSrnSY
Самоперемещается:
- из <Полный путь к вирусу> в %ALLUSERSPROFILE%\MalwareBytes0\svchost.exe
Сетевая активность:
UDP:
- DNS ASK xt######igital-network.info
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
