Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '9t4hv84' = '%APPDATA%\jpposh.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sxikihuvuw' = 'rundll32.exe "%WINDIR%\dlsasviv.dll",Startup'
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\47296256] 'Name' = '"%TEMP%\5.tmp"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\jpposh.exe -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
- "%TEMP%\pshha.exe" (загружен из сети Интернет)
- "%TEMP%\mish.exe" (загружен из сети Интернет)
- "%TEMP%\tcomfpag.exe" (загружен из сети Интернет)
- "%TEMP%\xqcwsah.exe" (загружен из сети Интернет)
- "%TEMP%\ukrycny.exe" (загружен из сети Интернет)
- "%TEMP%\hodwarf.exe" (загружен из сети Интернет)
- "%TEMP%\750234914" (загружен из сети Интернет)
- "%TEMP%\qwutu.exe" (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\rundll32.exe "%WINDIR%\dlsasviv.dll",iep
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\5xb5y8f33.bat"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\rundll32.exe "%WINDIR%\dlsasviv.dll",Startup
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\flcppgggu[1].php
- %TEMP%\pshha.exe
- %WINDIR%\Temp\6.tmp
- %TEMP%\mish.exe
- %APPDATA%\MouseDriver.bat
- %TEMP%\750234914
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\xtkkbspt[1].php
- %APPDATA%\mdinstall.inf
- %TEMP%\Rlb..bat
- %TEMP%\xqcwsah.exe
- %WINDIR%\ovujudoyat.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\CA18GBTP.php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\qqqriimq[1].php
- %APPDATA%\5xb5y8f33.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\arboobnkar[1].php
- %TEMP%\tcomfpag.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\erfjjje[1].php
- %TEMP%\nsi3.tmp\4E4U - Bucks.exe
- %TEMP%\nsi3.tmp\3IC.exe
- %WINDIR%\dlsasviv.dll
- %TEMP%\nsi3.tmp\5tbp.exe
- %TEMP%\nsi3.tmp\boappsdl.exe
- %TEMP%\nsx2.tmp
- %TEMP%\nsi3.tmp\2IR.exe
- %TEMP%\nsi3.tmp\1EuroP.exe
- %APPDATA%\jpposh.exe
- %TEMP%\hodwarf.exe
- %TEMP%\qwutu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\qduhhl[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\dnnrvriqm[1].php
- %TEMP%\4.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\dhdhuy[1].php
- %TEMP%\ukrycny.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- <DRIVERS>\etc\hosts
- %TEMP%\5.tmp
- %APPDATA%\mdinstall.inf
- <SYSTEM32>\svchost.exe
- %WINDIR%\Temp\6.tmp
- %TEMP%\nsi3.tmp\boappsdl.exe
- %TEMP%\nsi3.tmp\2IR.exe
- %TEMP%\nsi3.tmp\1EuroP.exe
- %TEMP%\nsi3.tmp\3IC.exe
- %TEMP%\nsi3.tmp\5tbp.exe
- %TEMP%\nsi3.tmp\4E4U - Bucks.exe
Сетевая активность:
Подключается к:
- 'localhost':1043
- '16######0703.innolounge.net':80
- 'w.#####ardiscover.com':888
- 'aa###ket.com':80
- 'ge##ue.in':80
TCP:
Запросы HTTP GET:
- aa###ket.com/ckkuylpycc/qqqriimq.php?ad################################
- aa###ket.com/ckkuylpycc/flcppgggu.php?ad################################
- aa###ket.com/ckkuylpycc/arboobnkar.php?ad################################
- aa###ket.com/ckkuylpycc/nnbrswmqa.php?ad################################
- aa###ket.com/ckkuylpycc/sjwxkob.php?ad################################
- aa###ket.com/ckkuylpycc/dhdhuy.php?ad################################
- aa###ket.com/ckkuylpycc/dnnrvriqm.php?ad################################
- aa###ket.com/ckkuylpycc/qduhhl.php?ad################################
- aa###ket.com/ckkuylpycc/xtkkbspt.php?ad################################
- aa###ket.com/ckkuylpycc/erfjjje.php?ad################################
Запросы HTTP POST:
- ge##ue.in/?in##############################################################################################################
UDP:
- DNS ASK ge##ue.in
- DNS ASK w.#####ardiscover.com
- DNS ASK 16######0703.innolounge.net
- DNS ASK aa###ket.com
- DNS ASK ik##.com
- DNS ASK si###ell.com
- DNS ASK go##le.ae
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
