Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'A0B7' = '%PROGRAM_FILES%\FireFox\UFJNRC.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\winlogon.exe' /pid=2808
- '<SYSTEM32>\winlogon.exe' /pid=3448
- '<SYSTEM32>\winlogon.exe' /pid=3656
- '<SYSTEM32>\winlogon.exe' -p 1288 -e 1976 -g
- '<SYSTEM32>\winlogon.exe' /pid=3320
- '<SYSTEM32>\winlogon.exe' /pid=2868
- '<SYSTEM32>\winlogon.exe'
- '<SYSTEM32>\winlogon.exe' /pid=3228
- '<SYSTEM32>\winlogon.exe' /pid=2992
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\cmd.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Identities\dec.nls
- %APPDATA%\Identities\decon.nls
- %APPDATA%\Identities\yecaru.clb
- %APPDATA%\Identities\wecapu.dat
- %APPDATA%\Identities\tecosu.ocx
- %APPDATA%\Identities\lecacu.clb
- %APPDATA%\Identities\recedu.ocx
- %APPDATA%\Identities\recop.nls
- %APPDATA%\Identities\mecaru.clb
- %APPDATA%\Identities\neci.clb
- %APPDATA%\Identities\nece.clb
- %APPDATA%\Identities\lececu.clb
- %APPDATA%\Identities\dece.clb
- %APPDATA%\Identities\veca.clb
- %APPDATA%\Identities\gecivu.drv
- %APPDATA%\Identities\decar.dat
- %APPDATA%\Identities\vecasu.ocx
- %APPDATA%\Identities\vecisu.ocx
- %APPDATA%\Identities\yeci.clb
- %APPDATA%\Identities\kecinu.ocx
- %APPDATA%\Identities\ceci.clb
- %ALLUSERSPROFILE%\Application Data\Microsoft\Dr Watson\user.dmp
- %APPDATA%\Identities\tecn.clb
- %APPDATA%\Identities\xecofu.dat
- %APPDATA%\Identities\recelu.drv
- %APPDATA%\Identities\yecenu.ocx
- %APPDATA%\Identities\meceru.clb
- %APPDATA%\Identities\necimu.clb
- %APPDATA%\Identities\kecanu.ocx
- %APPDATA%\Identities\ke.dat
- %APPDATA%\Identities\kecan.dat
- %APPDATA%\Identities\wectur.dat
- %APPDATA%\Identities\fecafu.dat
- %APPDATA%\Identities\recopu.dat
- %APPDATA%\Identities\gecanu.ocx
- %APPDATA%\Identities\lecicu.clb
- %HOMEPATH%\My Documents\My Pictures\~$%USERNAME%_Assignment.txt
- %HOMEPATH%\My Documents\My Pictures\A10FC.ishu
- %HOMEPATH%\My Documents\My Music\~$%USERNAME%_Assignment.log
- %HOMEPATH%\My Documents\My Music\98266.ishu
- %ALLUSERSPROFILE%\Documents\~$%USERNAME%_Index.accdb
- %ALLUSERSPROFILE%\Documents\My Music\90090.ishu
- %ALLUSERSPROFILE%\Documents\My Pictures\~$%USERNAME%_Research.docx
- %ALLUSERSPROFILE%\Documents\7A252.ishu
- %ALLUSERSPROFILE%\Documents\My Music\~$%USERNAME%_Research.xls
- %APPDATA%\Identities\nv 2
- %APPDATA%\Identities\CV
- %APPDATA%\Identities\ 629601535dll.tmp
- %APPDATA%\con.79506
- %APPDATA%\Identities\con.B183
- %HOMEPATH%\My Documents\~$%USERNAME%_Presentation.xlsx
- %HOMEPATH%\My Documents\82428.ishu
- %PROGRAM_FILES%\FireFox\UFJNRC.exe
- %PROGRAM_FILES%\FireFox\cecuru.clb
- %APPDATA%\Identities\sec.nls
- %APPDATA%\Identities\tecimu.clb
- %APPDATA%\Identities\recagu.drv
- %APPDATA%\Identities\tecenu.ocx
- %APPDATA%\Identities\neciwu.clb
- %APPDATA%\Identities\becewu.clb
- %APPDATA%\Identities\wecupu.dat
- %APPDATA%\Identities\becew.nls
- %APPDATA%\Identities\wecebu.drv
- %ALLUSERSPROFILE%\Documents\My Videos\926A9.ishu
- %APPDATA%\Identities\cecacu.clb
- %ALLUSERSPROFILE%\Documents\My Pictures\98F26.ishu
- %ALLUSERSPROFILE%\Documents\My Videos\~$%USERNAME%_Document.ppt
- %APPDATA%\Identities\lecaru.clb
- %APPDATA%\Identities\cecac.dat
- %APPDATA%\Identities\meca.clb
- %APPDATA%\Identities\pec.nls
- %APPDATA%\Identities\pecav.dat
Другое:
Ищет следующие окна:
- ClassName: 'OperaWindowClass' WindowName: '(null)'
- ClassName: 'Internet Explorer_Server' WindowName: '(null)'
- ClassName: 'Chrome_RenderWidgetHostHWND' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'TfrmBrowserMDIMain.Avant.UnicodeClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'iQFrame' WindowName: '(null)'
- ClassName: 'SlimBrowser MainFrameW' WindowName: '(null)'
- ClassName: 'MozillaContentWindowClass' WindowName: '(null)'
- ClassName: 'MozillaUIWindowClass' WindowName: '(null)'
- ClassName: 'ProgMan' WindowName: '(null)'
- ClassName: 'ConsoleWindowClass' WindowName: '(null)'
- ClassName: 'Chrome_WidgetWin_1' WindowName: '(null)'
- ClassName: 'Chrome_AutocompleteEditView' WindowName: '(null)'
- ClassName: 'MozillaWindowClass' WindowName: '(null)'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '(null)'
