Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'b1eftg' = '%APPDATA%\ctch.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\ctch.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\c5jc6fmb.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\c5jc6fmb.bat
- %APPDATA%\ctch.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
