Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '&#$TR$!#$FE' = '%APPDATA%\Microsoft\svchost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Microsoft\svchost.exe
- "%TEMP%\JZgET.exe" (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c """%TEMP%\HBLET.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\URQUH.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\FJXGS.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\DOTLM.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\XWBYT.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\IQIRN.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\VUGOG.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\LCUPK.bat"" "
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\cmd.exe /c """%TEMP%\JYWFG.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\qhJZg.bat"" "
- <SYSTEM32>\reg.exe ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "&#$TR$!#$FE" /t REG_SZ /d "%APPDATA%\Microsoft\svchost.exe" /f
- <SYSTEM32>\cmd.exe /c """%TEMP%\UCDKW.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\EMDYC.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\GBIWE.bat"" "
- <SYSTEM32>\cmd.exe /c """%TEMP%\MDYUV.bat"" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\HBLET.bat
- %TEMP%\URQUH.txt
- %TEMP%\URQUH.bat
- %TEMP%\HBLET.txt
- %TEMP%\FJXGS.bat
- %TEMP%\DOTLM.txt
- %TEMP%\DOTLM.bat
- %TEMP%\VUGOG.txt
- %TEMP%\XWBYT.bat
- %TEMP%\IQIRN.txt
- %TEMP%\IQIRN.bat
- %TEMP%\XWBYT.txt
- %TEMP%\VUGOG.bat
- %TEMP%\LCUPK.txt
- %TEMP%\LCUPK.bat
- %TEMP%\JYWFG.txt
- %TEMP%\JYWFG.bat
- %TEMP%\GBIWE.txt
- %APPDATA%\Microsoft\svchost.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\microsoft[1].exe
- %TEMP%\JZgET.exe
- %TEMP%\qhJZg.bat
- %TEMP%\GBIWE.bat
- %TEMP%\EMDYC.txt
- %TEMP%\EMDYC.bat
- %TEMP%\FJXGS.txt
- %TEMP%\UCDKW.bat
- %TEMP%\MDYUV.txt
- %TEMP%\MDYUV.bat
- %TEMP%\UCDKW.txt
Удаляет следующие файлы:
- %TEMP%\URQUH.txt
- %TEMP%\URQUH.bat
- %TEMP%\VUGOG.txt
- %TEMP%\DOTLM.bat
- %TEMP%\HBLET.txt
- %TEMP%\HBLET.bat
- %TEMP%\XWBYT.txt
- %TEMP%\XWBYT.bat
- %TEMP%\IQIRN.txt
- %TEMP%\VUGOG.bat
- %TEMP%\LCUPK.txt
- %TEMP%\LCUPK.bat
- %TEMP%\DOTLM.txt
- %TEMP%\GBIWE.bat
- %TEMP%\MDYUV.txt
- %TEMP%\MDYUV.bat
- %TEMP%\JYWFG.txt
- %TEMP%\JYWFG.bat
- %TEMP%\GBIWE.txt
- %TEMP%\EMDYC.bat
- %TEMP%\FJXGS.txt
- %TEMP%\FJXGS.bat
- %TEMP%\UCDKW.txt
- %TEMP%\UCDKW.bat
- %TEMP%\EMDYC.txt
Сетевая активность:
Подключается к:
- 'jo####.no-ip.info':2300
- 'mu######mag1c.fileave.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- mu######mag1c.fileave.com/microsoft.exe
UDP:
- DNS ASK jo####.no-ip.info
- DNS ASK mu######mag1c.fileave.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
