Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wco' = '%WINDIR%\wco.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wco' = '%WINDIR%\wco.bat'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\wco.exe'
- '%WINDIR%\Rar.exe' a -r C:\pass\pass.rar C:\pass\
- '%PROGRAM_FILES%\4_RegCleaner_4.3\RegCleaner\start.exe'
- '%PROGRAM_FILES%\4_RegCleaner_4.3\RegCleaner\4_RegCleaner_4.3.exe'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +a +s +h +r %WINDIR%\rar.exe
- '<SYSTEM32>\attrib.exe' +a +s +h +r %WINDIR%\otpr.vbs
- '<SYSTEM32>\attrib.exe' +a +s +h +r %WINDIR%\wco.exe
- '<SYSTEM32>\conhost.exe' +a +s +h +r %WINDIR%\wco.bat
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoControlPanel /t REG_DWORD /d 1 /f
- '<SYSTEM32>\conhost.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "wco" /t REG_SZ /d "%WINDIR%\wco.exe" /f
- '<SYSTEM32>\attrib.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoControlPanel /t REG_DWORD /d 1 /f
- '%WINDIR%\regedit.exe' -ea C:\pass\MailAgent\reg\agent.reg "HKEY_CURRENT_USER\software\Mail.Ru\Agent\magent_logins2
- '<SYSTEM32>\attrib.exe' C:\pass +h +s +r
- '<SYSTEM32>\attrib.exe' %WINDIR%\wincs +h +s +r
- '%WINDIR%\regedit.exe' -ea C:\pass\MailAgent\reg\agent_3.reg "HKEY_CURRENT_USER\software\Mail.Ru\Agent\magent_logins3
- '<SYSTEM32>\WScript.exe' "%WINDIR%\otpr.vbs" - юЄяЁртър эр ь√ыю
- '<SYSTEM32>\xcopy.exe' Mra\Update\ver.txt C:\pass\MailAgent /K /H /G /Q /R /S /Y
- '<SYSTEM32>\xcopy.exe' Mra\Base C:\pass\MailAgent /K /H /G /Q /R /S /Y /E
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- C:\pass\Chrome\Login Data
- C:\pass\Chrome\Login Data-journal
- C:\pass\Mozilla\key3.db
- C:\pass\Mozilla\signons.sqlite
- C:\pass\pass.rar
- %WINDIR%\wincs\pass.rar
- C:\pass\Chrome\Cookies
- C:\pass\Chrome\Cookies-journal
- C:\pass\Mozilla\cookies.sqlite
- %PROGRAM_FILES%\4_RegCleaner_4.3\RegCleaner\start.exe
- %PROGRAM_FILES%\4_RegCleaner_4.3\RegCleaner\4_RegCleaner_4.3.exe
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %WINDIR%\wco.exe
- %TEMP%\9FB8.tmp\wind2.bat
- %WINDIR%\otpr.vbs
- %WINDIR%\Rar.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\otpr.vbs
- %WINDIR%\Rar.exe
- %PROGRAM_FILES%\4_RegCleaner_4.3\RegCleaner\start.exe
- %WINDIR%\wco.exe
Удаляет следующие файлы:
- C:\pass\Mozilla\signons.sqlite
- C:\pass\Mozilla\key3.db
- C:\pass\pass.rar
- %TEMP%\9FB8.tmp\wind2.bat
- %WINDIR%\wincs\pass.rar
- C:\pass\Mozilla\cookies.sqlite
- C:\pass\Chrome\Cookies
- %TEMP%\$inst\temp_0.tmp
- C:\pass\Chrome\Cookies-journal
- C:\pass\Chrome\Login Data-journal
- C:\pass\Chrome\Login Data
Сетевая активность:
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK sm##.mail.ru
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
