Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rupdate' = '%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide "%APPDATA%\Roaming\WinUpdate\extra\update2.bat"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wupdate' = '%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide "%APPDATA%\Roaming\WinUpdate\extra\update.bat"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dvs' = '%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide "%APPDATA%\Roaming\WinUpdate\update.bat"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\svchost.exe' e -p12345 -o+ nv.rar %APPDATA%\Roaming\WinUpdate\extra\
- '%TEMP%\RarSFX0\svchost.exe' e -p12345 -o+ at.rar %APPDATA%\Roaming\WinUpdate\extra\
- '%TEMP%\RarSFX0\ncmd.exe' exec hide "dep.bat"
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add hkcu\Software\Microsoft\Windows\CurrentVersion\Run /f /v wupdate /t REG_SZ /d "%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide \"%APPDATA%\Roaming\WinUpdate\extra\update.bat\""
- '<SYSTEM32>\reg.exe' add hkcu\Software\Microsoft\Windows\CurrentVersion\Run /f /v rupdate /t REG_SZ /d "%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide \"%APPDATA%\Roaming\WinUpdate\extra\update2.bat\""
- '<SYSTEM32>\cscript.exe' ms.vbs "Error loading dll."
- '<SYSTEM32>\cmd.exe' /c ""dep.bat""
- '<SYSTEM32>\xcopy.exe' ncmd.exe %APPDATA%\Roaming\WinUpdate\ /C /Y
- '<SYSTEM32>\reg.exe' add hkcu\Software\Microsoft\Windows\CurrentVersion\Run /f /v dvs /t REG_SZ /d "%APPDATA%\Roaming\WinUpdate\ncmd.exe exec hide \"%APPDATA%\Roaming\WinUpdate\update.bat\""
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\WinUpdate\extra\pthreadGC2.dll
- %APPDATA%\Roaming\WinUpdate\extra\ssleay32.dll
- %APPDATA%\Roaming\WinUpdate\extra\libpdcurses.dll
- %APPDATA%\Roaming\WinUpdate\extra\libeay32.dll
- %APPDATA%\Roaming\WinUpdate\extra\libidn-11.dll
- %APPDATA%\Roaming\WinUpdate\extra\zlib1.dll
- %APPDATA%\Roaming\WinUpdate\extra\cudart32_55.dll
- %APPDATA%\Roaming\WinUpdate\extra\pthreadVC2.dll
- %APPDATA%\Roaming\WinUpdate\extra\svchost.exe
- %APPDATA%\Roaming\WinUpdate\extra\ckolivas.cl
- %APPDATA%\Roaming\WinUpdate\extra\update2.bat
- %TEMP%\RarSFX0\ms.vbs
- %TEMP%\RarSFX0\64.rar
- %TEMP%\RarSFX0\svchost.exe
- %TEMP%\RarSFX0\dep.bat
- %TEMP%\RarSFX0\ncmd.exe
- %TEMP%\RarSFX0\at.rar
- %APPDATA%\Roaming\WinUpdate\extra\winlogon.exe
- %APPDATA%\Roaming\WinUpdate\extra\libcurl.dll
- %APPDATA%\Roaming\WinUpdate\extra\update.bat
- %TEMP%\RarSFX0\nv.rar
- %APPDATA%\Roaming\WinUpdate\ncmd.exe
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
