Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc] 'DLLName' = '<SYSTEM32>\1269047145\f4.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc] 'Startup' = 'F4OffLine'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '1269047145' = '<SYSTEM32>\1269047145\wininit.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\G1010] 'ImagePath' = 'system32\drivers\G1010.sys'
- [<HKLM>\SYSTEM\ControlSet001\Services\G1010] 'Start' = '00000000'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc" /v DLLName /t REG_SZ /d <SYSTEM32>\1269047145\f4.dll /f
- '<SYSTEM32>\4bbb32738ba61.exe' -add -c <SYSTEM32>\4bbb3451eb70b.cert -s -r localMachine root
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc" /v MaxWait /t REG_DWORD /d 258 /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc" /v Startup /t REG_SZ /d F4OffLine /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v 1269047145 /t REG_SZ /d <SYSTEM32>\1269047145\wininit.exe /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc" /v Impersonate /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ a4hc" /v Asynchronous /t REG_DWORD /d 0 /f
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\4bb059c9d73c1
- <SYSTEM32>\4bbb3451eb70b.cert
- C:\4bbc91c63892c
- <SYSTEM32>\4bb059ce67e82
- <DRIVERS>\G1010.sys
- <SYSTEM32>\1269047145\wininit.exe
- <SYSTEM32>\4bbb32738ba61.exe
- <SYSTEM32>\1269047145\f4.dll
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'cl######.#roupofsolutions.com.br':80
TCP:
Запросы HTTP GET:
- http://cl######.#roupofsolutions.com.br/vitima.php?da###############################################################################################################
- http://cl######.#roupofsolutions.com.br/hostsdeny.php
- http://cl######.#roupofsolutions.com.br/hostsnormal.php
UDP:
- DNS ASK cl######.#roupofsolutions.com.br
Другое:
Добавляет корневой сертификат
