Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '7cnef0w' = '%APPDATA%\hegn8hd.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\hegn8hd.exe -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
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\cmd.exe /c "%APPDATA%\b3hb4el9.bat"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mdinstall.inf
- %APPDATA%\b3hb4el9.bat
- %APPDATA%\hegn8hd.exe
- %APPDATA%\MouseDriver.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- %APPDATA%\mdinstall.inf
Самоудаляется.
Сетевая активность:
Подключается к:
- 'w.#####ardiscover.com':888
UDP:
- DNS ASK w.#####ardiscover.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
