Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'alubnkec' = '"%WINDIR%\ikyx\yvapkgtw.exe"'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\attrib.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\services.exe
- <SYSTEM32>\alg.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\smss.exe
- <SYSTEM32>\attrib.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\ctfmon.exe
- <SYSTEM32>\spoolsv.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\4364167d-b8c7-46a1-9a13-63e1d3901e40
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\835990ca-7a60-4cd8-a194-601708552940
- %ALLUSERSPROFILE%\Application Data\tcusyhan\esumipaq.dat
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\3def4fe2-7f7a-4dd8-abd8-e3a6cd09a3b5
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\df9247b0-4a17-4b8b-a9c8-923682209c25
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\f783669d-44f0-4e51-84df-c5292fe52d5b
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\3cf8c234-d6ee-4b65-bb5a-f98f75306a72
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\tcusyhan\umehonuk.dat
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\e9852a71-d1bc-4e13-93f8-e9a9e7250980
- %ALLUSERSPROFILE%\Application Data\tcusyhan\ngufyzyg.dat
- %WINDIR%\ikyx\yvapkgtw.exe
- %ALLUSERSPROFILE%\Application Data\Sun\eqasajan.bkp
- %ALLUSERSPROFILE%\Application Data\Sun\umehonuk.bkp
- %ALLUSERSPROFILE%\Application Data\tcusyhan\eqasajan.dat
Сетевая активность:
Подключается к:
- 'pn###snf.com':443
- '74.##5.232.51':80
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
UDP:
- DNS ASK pn###snf.com
- DNS ASK google.com
- DNS ASK wi###edia.org
Другое:
Ищет следующие окна:
- ClassName: 'shell_traywnd' WindowName: '(null)'
