Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rupdate' = '%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide "%APPDATA%\Roaming\WinUpdate\extra\update2.bat"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wupdate' = '%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide "%APPDATA%\Roaming\WinUpdate\extra\update.bat"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dvs' = '%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide "%APPDATA%\Roaming\WinUpdate\update.bat"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\svchost.exe' e -p12345 -o+ at.rar %APPDATA%\Roaming\WinUpdate\extra\
- '%TEMP%\RarSFX0\svchost.exe' e -p12345 -o+ nv.rar %APPDATA%\Roaming\WinUpdate\extra\
- '%TEMP%\RarSFX0\ncmd.exe' exec hide "dep.bat"
- '%TEMP%\RarSFX0\svchost.exe' e -p12345 -o+ 32.rar %APPDATA%\Roaming\WinUpdate\
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add hkcu\Software\Microsoft\Windows\CurrentVersion\Run /f /v rupdate /t REG_SZ /d "%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide \"%APPDATA%\Roaming\WinUpdate\extra\update2.bat\""
- '<SYSTEM32>\cscript.exe' ms.vbs "Error loading dll."
- '<SYSTEM32>\reg.exe' add hkcu\Software\Microsoft\Windows\CurrentVersion\Run /f /v wupdate /t REG_SZ /d "%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide \"%APPDATA%\Roaming\WinUpdate\extra\update.bat\""
- '<SYSTEM32>\xcopy.exe' ncmd.exe %APPDATA%\Roaming\WinUpdate\ /C /Y
- '<SYSTEM32>\reg.exe' add hkcu\Software\Microsoft\Windows\CurrentVersion\Run /f /v dvs /t REG_SZ /d "%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide \"%APPDATA%\Roaming\WinUpdate\update.bat\""
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\WinUpdate\extra\ssleay32.dll
- %APPDATA%\Roaming\WinUpdate\extra\libssh2.dll
- %APPDATA%\Roaming\WinUpdate\extra\diablo130302.cl
- %APPDATA%\Roaming\WinUpdate\extra\zlib1.dll
- %APPDATA%\Roaming\WinUpdate\extra\libeay32.dll
- %APPDATA%\Roaming\WinUpdate\extra\libcurl-4.dll
- %APPDATA%\Roaming\WinUpdate\extra\librtmp.dll
- %APPDATA%\Roaming\WinUpdate\extra\libidn-11.dll
- %APPDATA%\Roaming\WinUpdate\extra\svchost.exe
- %APPDATA%\Roaming\WinUpdate\extra\update2.bat
- %APPDATA%\Roaming\WinUpdate\extra\pthreadVC2.dll
- %APPDATA%\Roaming\WinUpdate\extra\cudart32_55.dll
- %APPDATA%\Roaming\WinUpdate\extra\phatk121016.cl
- %APPDATA%\Roaming\WinUpdate\extra\diakgcn121016.cl
- %APPDATA%\Roaming\WinUpdate\extra\scrypt130511.cl
- %APPDATA%\Roaming\WinUpdate\extra\poclbm130302.cl
- %APPDATA%\Roaming\WinUpdate\extra\winlogon.exe
- %TEMP%\RarSFX0\64.rar
- %TEMP%\RarSFX0\32.rar
- %TEMP%\RarSFX0\nv.rar
- %TEMP%\RarSFX0\at.rar
- %TEMP%\RarSFX0\ncmd.exe
- %TEMP%\RarSFX0\dep.bat
- %TEMP%\RarSFX0\ms.vbs
- %TEMP%\RarSFX0\svchost.exe
- %APPDATA%\Roaming\WinUpdate\pthreadGC2.dll
- %APPDATA%\Roaming\WinUpdate\libcurl-4.dll
- %APPDATA%\Roaming\WinUpdate\extra\update.bat
- %APPDATA%\Roaming\WinUpdate\zlib1.dll
- %APPDATA%\Roaming\WinUpdate\ncmd.exe
- %APPDATA%\Roaming\WinUpdate\svchost.exe
- %APPDATA%\Roaming\WinUpdate\update.bat
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
