Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bf4z4p' = '%APPDATA%\y9cd.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\y9cd.exe -d74673DD735F2429D7180587FF4B0181DF560F484E68437FEFB97F385F1273A52C6BA607D88F41B457206B01FDAE49AB2CE0D48A04AE1E3BF6E57403C205F6B19FBB267C87E761BF7CE8F87C0956EB0BABD8AEAA618A9626235871C74F105C34589DEF3E1342AEB5B8A4CCD9A5192D28758E5192A8DD6FDCA77551957B3CD5D9F2630E54C064474A0ECDDB4E77BBFB93D739E575725243E7199020659F12F9078C5A05F2293F5DEF27720ACF6C05E5EF5244F65D69EBCED54404DF57A7941F5169CE3C1D3B7FA946FF28267FD0E9FFBBDBE004306F4B9149850B338A8579167B0209CADA18F3D3E8F6160D544915B0744D9EC341D6516FB4FEF5F5FD7DA21FD9606E803A978F0C57109EE2814B6FF3DFB47E7B78E6D422BB082B53A728D20112B420EE4130E45516C6F51D1AE2A3495791FC98E34CA486E4CAD9EDCAB3E473B560B45B1CB30D54DE2594880CDDB194993B6BDBAFA78FCCD3756FF95FFF90E56D2D4910C5CFADC61FDCA50270AF521D08DA0457C4AB53090F4A1C2F6810DAF79965413D533C9D475850966F672E555E57BB2BD5517FDC34035F431D0460518FDFC7E1A2E823AA1B4E59A0F5FDE5887805D01A605DE0E5DA754F4CF349CAFEF7D6F8824764B2A57859F42DE13DB3C88DAA4E3058FA0E4AACD61859673D818C5D009E7275078B65F927106320295BD426C51ED993260BD0D
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\vn1uox5ts.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\vn1uox5ts.bat
- %APPDATA%\y9cd.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
