Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'lfw72re' = '%APPDATA%\uehrycm.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\uehrycm.exe' -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
- '%APPDATA%\uehrycm.exe'
Запускает на исполнение:
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\rundll32.exe' setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- '<SYSTEM32>\cmd.exe' /c "%APPDATA%\2u81v5c00.bat"
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\grpconv.exe' -o
- '<SYSTEM32>\net1.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
- '<SYSTEM32>\sc.exe' config wscsvc start= DISABLED
- '<SYSTEM32>\net.exe' stop "Security Center"
- '<SYSTEM32>\net.exe' stop "Windows Firewall/Internet Connection Sharing (ICS)"
- '<SYSTEM32>\net1.exe' stop "Security Center"
- '<SYSTEM32>\sc.exe' config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\2u81v5c00.bat
- %APPDATA%\uehrycm.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
