Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'lqbkkvy' = '%APPDATA%\ubmg.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\ubmg.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\d5jc6fnb.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\d5jc6fnb.bat
- %APPDATA%\ubmg.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
