Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '590eab4c764e7c3bd0b25234e3fd3dd7' = '"%APPDATA%\MSNET.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '590eab4c764e7c3bd0b25234e3fd3dd7' = '"%APPDATA%\MSNET.exe" ..'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\MSNET.exe' = '%APPDATA%\MSNET.exe:*:Enabled:MSNET.exe'
Создает и запускает на исполнение:
- '%APPDATA%\MSNET.exe'
- '%HOMEPATH%\Desktop\30morghsite\Proxifier\proxy.exe'
- '%HOMEPATH%\Desktop\30morghsite\30morghsite.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\MSNET.exe" "MSNET.exe" ENABLE
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\regsvr32.exe' /s /c "<SYSTEM32>\vbMHWB.dll"
- '<SYSTEM32>\regsvr32.exe' /s /c "<SYSTEM32>\MSWINSCK.OCX"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\30morghsite\Proxifier\xmllite.dll
- <SYSTEM32>\vbMHWB.dll
- %TEMP%\09439265-861a-4e7c-bac6-02937800b50a\AgileDotNetRT.dll
- %HOMEPATH%\Desktop\30morghsite\Proxifier\PrxDrvPE.dll
- %HOMEPATH%\Desktop\30morghsite\Proxifier\PrxDrvPE64.dll
- %HOMEPATH%\Desktop\30morghsite\Proxifier\Settings.ini
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\699c4b9cdebca7aaea5193cae8a50098_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %HOMEPATH%\Desktop\static.php
- %TEMP%\HbcFCkCA-EE7E-442C-070\stunnel.exe
- <SYSTEM32>\MSWINSCK.OCX
- %APPDATA%\MSNET.exe
- %HOMEPATH%\Desktop\30morghsite\30morghsite\MSWINSCK.OCX
- %HOMEPATH%\Desktop\30morghsite\30morghsite\vbMHWB.dll
- %HOMEPATH%\Desktop\30morghsite\30morghsite.exe
- %HOMEPATH%\Desktop\30morghsite\30morghsite\30morghsite1.dat
- %HOMEPATH%\Desktop\30morghsite\30morghsite\30morghsite2.dat
- %HOMEPATH%\Desktop\30morghsite\30morghsite\advapi32.dll
- %HOMEPATH%\Desktop\30morghsite\Proxifier\Proxifier.exe
- %HOMEPATH%\Desktop\30morghsite\Proxifier\proxy.exe
- %HOMEPATH%\Desktop\30morghsite\Proxifier\ProxyChecker.exe
- %HOMEPATH%\Desktop\30morghsite\Proxifier\Helper64.exe
- %HOMEPATH%\Desktop\30morghsite\Proxifier\ico.ico
- %HOMEPATH%\Desktop\30morghsite\Proxifier\Profiles\Default.ppx
Сетевая активность:
Подключается к:
- 'localhost':1043
- 'oi###jj5eyf.tk':80
- 'cl####.sytes.net':5553
- 'w2####6foaydkz0e.tk':80
TCP:
Запросы HTTP GET:
- oi###jj5eyf.tk/software/static.php?0.###########################################################
UDP:
- DNS ASK oi###jj5eyf.tk
- DNS ASK w2####6foaydkz0e.tk
- DNS ASK cl####.sytes.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
