Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '34fe4gl' = '%APPDATA%\y0w26h.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\y0w26h.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\91f92cj7.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\91f92cj7.bat
- %APPDATA%\y0w26h.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
