Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdater' = '%PROGRAM_FILES%\%localappdata%\XUJRW\irG20.vbe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ZSBDY.exe'
- '%PROGRAM_FILES%\%localappdata%\XUJRW\KLTSA.exe' %PROGRAM_FILES%\%localappdata%\XUJRW\HOGSV
- '%PROGRAM_FILES%\%localappdata%\XUJRW\KLTSA.exe' %PROGRAM_FILES%\%localappdata%\XUJRW\ZTCIA
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /IM mshta.exe
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe'
- '<SYSTEM32>\mshta.exe'
- '<SYSTEM32>\notepad.exe' %PROGRAM_FILES%\%localappdata%\XUJRW\Tutorial - How to get stronger in Wartune.txt
- '<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\%localappdata%\XUJRW\irG20.vbe"
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\%localappdata%\XUJRW\RWDDH.akd
- %PROGRAM_FILES%\%localappdata%\XUJRW\TDIWT.rjf
- %PROGRAM_FILES%\%localappdata%\XUJRW\RORRC.mqn
- %PROGRAM_FILES%\%localappdata%\XUJRW\ATLTU.vah
- %PROGRAM_FILES%\%localappdata%\XUJRW\KXIFM.jpt
- %PROGRAM_FILES%\%localappdata%\XUJRW\MLYTI.onm
- %PROGRAM_FILES%\%localappdata%\XUJRW\OWTCR.kmc
- %PROGRAM_FILES%\%localappdata%\XUJRW\UUAZE.lfp
- %PROGRAM_FILES%\%localappdata%\XUJRW\WEZLF.ixu
- %PROGRAM_FILES%\%localappdata%\XUJRW\YUUOA.ktr
- %PROGRAM_FILES%\%localappdata%\XUJRW\ACFIK.dcj
- %PROGRAM_FILES%\%localappdata%\XUJRW\KLTSA.exe
- %PROGRAM_FILES%\%localappdata%\XUJRW\Tutorial - How to get stronger in Wartune.txt
- %PROGRAM_FILES%\%localappdata%\XUJRW\HOGSV
- %TEMP%\ZSBDY.exe
- %PROGRAM_FILES%\%localappdata%\XUJRW\spd
- %PROGRAM_FILES%\%localappdata%\XUJRW\PDFXS.vvr
- %PROGRAM_FILES%\%localappdata%\XUJRW\LBIUM.lvg
- %PROGRAM_FILES%\%localappdata%\XUJRW\FKKUO.ijp
- %PROGRAM_FILES%\%localappdata%\XUJRW\MLNBC.mgu
- %PROGRAM_FILES%\%localappdata%\XUJRW\ZPBXT.mem
- %PROGRAM_FILES%\%localappdata%\XUJRW\GXLVP.lgw
- %PROGRAM_FILES%\%localappdata%\XUJRW\SRBAQ.ocw
- %PROGRAM_FILES%\%localappdata%\XUJRW\WGZNW.gak
- %PROGRAM_FILES%\%localappdata%\XUJRW\XMAMX.boc
- %PROGRAM_FILES%\%localappdata%\XUJRW\CAIVP.tnn
- %PROGRAM_FILES%\%localappdata%\XUJRW\IVAMO
- %PROGRAM_FILES%\%localappdata%\XUJRW\PBFQZ
- %PROGRAM_FILES%\%localappdata%\XUJRW\YMQGIX
- %PROGRAM_FILES%\%localappdata%\XUJRW\irG20.vbe
- %PROGRAM_FILES%\%localappdata%\XUJRW\ZTCIA
- %PROGRAM_FILES%\%localappdata%\XUJRW\EYZZE.ges
- %PROGRAM_FILES%\%localappdata%\XUJRW\APDVA.khj
- %PROGRAM_FILES%\%localappdata%\XUJRW\DOFNV.sas
- %PROGRAM_FILES%\%localappdata%\XUJRW\NDHAW.jnu
- %PROGRAM_FILES%\%localappdata%\XUJRW\RPDYS.tfp
- %PROGRAM_FILES%\%localappdata%\XUJRW\JANHZ.buo
- %PROGRAM_FILES%\%localappdata%\XUJRW\DGLRQ.fij
- %PROGRAM_FILES%\%localappdata%\XUJRW\LKQLV.ilx
- %PROGRAM_FILES%\%localappdata%\XUJRW\RLCPM.psf
- %PROGRAM_FILES%\%localappdata%\XUJRW\BHCJC.gts
- %PROGRAM_FILES%\%localappdata%\XUJRW\XNCYO.kkc
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\%localappdata%\XUJRW\ZTCIA
Удаляет следующие файлы:
- %PROGRAM_FILES%\%localappdata%\XUJRW\KLTSA.exe
Сетевая активность:
Подключается к:
- 'ch#####ulp.no-ip.biz':200
UDP:
- DNS ASK ch#####ulp.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
