Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'
- [<HKLM>\SOFTWARE\Classes\MSProgramGroup\Shell\Open\Command] '' = '<SYSTEM32>\grpconv.exe %1'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sq3q' = '%APPDATA%\56o4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sxikihuvuw' = 'rundll32.exe "%WINDIR%\wiodent.dll",Startup'
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\4087603200] 'Name' = '"%TEMP%\5.tmp"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MouseDriver] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\56o4.exe -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
- "%TEMP%\tcomfpag.exe" (загружен из сети Интернет)
- "%TEMP%\qwutu.exe" (загружен из сети Интернет)
- "%TEMP%\xqcwsah.exe" (загружен из сети Интернет)
- "%TEMP%\nohfx.exe" (загружен из сети Интернет)
- "%TEMP%\cpbdrxur.exe" (загружен из сети Интернет)
- "%TEMP%\mish.exe" (загружен из сети Интернет)
- "%TEMP%\ukrycny.exe" (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\runonce.exe -r
- <SYSTEM32>\rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %APPDATA%\mdinstall.inf
- <SYSTEM32>\net1.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\grpconv.exe -o
- <SYSTEM32>\rundll32.exe "%WINDIR%\wiodent.dll",iep
- <SYSTEM32>\cmd.exe /c "%APPDATA%\e6ke7hoc.bat"
- <SYSTEM32>\net1.exe stop "Security Center"
- <SYSTEM32>\net.exe stop "Security Center"
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\rundll32.exe "%WINDIR%\wiodent.dll",Startup
- <SYSTEM32>\sc.exe config SharedAccess start= DISABLED
- <SYSTEM32>\net.exe stop "Windows Firewall/Internet Connection Sharing (ICS)"
- <SYSTEM32>\sc.exe config wscsvc start= DISABLED
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\56o4.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\arboobnkar[1].php
- %TEMP%\xqcwsah.exe
- %TEMP%\tcomfpag.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\flcppgggu[1].php
- %TEMP%\mish.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\qqqriimq[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\qduhhl[1].php
- %APPDATA%\e6ke7hoc.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\CA5003LX.php
- %WINDIR%\ayodubay.dll
- %TEMP%\Rlb..bat
- %TEMP%\qwutu.exe
- %APPDATA%\MouseDriver.bat
- %APPDATA%\mdinstall.inf
- %TEMP%\ukrycny.exe
- %TEMP%\nsx3.tmp\3E4U - Bucks.exe
- %TEMP%\nsx3.tmp\6tbp.exe
- %TEMP%\nsx3.tmp\IR.exe
- %TEMP%\nsx3.tmp\2IC.exe
- %TEMP%\nsm2.tmp
- %TEMP%\nsx3.tmp\exrev.exe
- %TEMP%\nsx3.tmp\1EuroP.exe
- %WINDIR%\wiodent.dll
- %TEMP%\nohfx.exe
- %WINDIR%\Temp\6.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\dnnrvriqm[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\nnbrswmqa[1].php
- %TEMP%\4.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\oobbff[1].php
- %TEMP%\cpbdrxur.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MouseDriver.bat
Удаляет следующие файлы:
- <DRIVERS>\etc\hosts
- %TEMP%\5.tmp
- %WINDIR%\Temp\6.tmp
- %APPDATA%\mdinstall.inf
- <SYSTEM32>\svchost.exe
- %TEMP%\nsx3.tmp\2IC.exe
- %TEMP%\nsx3.tmp\1EuroP.exe
- %TEMP%\nsx3.tmp\3E4U - Bucks.exe
- %TEMP%\nsx3.tmp\IR.exe
- %TEMP%\nsx3.tmp\exrev.exe
Сетевая активность:
Подключается к:
- 'localhost':1040
- '11######072d.riffwire.net':80
- 'aa###ket.com':80
- 'th###able.in':80
TCP:
Запросы HTTP GET:
- aa###ket.com/ckkuylpycc/qduhhl.php?ad################################
- aa###ket.com/ckkuylpycc/arboobnkar.php?ad################################
- aa###ket.com/ckkuylpycc/sjwxkob.php?ad################################
- aa###ket.com/ckkuylpycc/ivzqmqd.php?ad################################
- aa###ket.com/ckkuylpycc/qqqriimq.php?ad################################
- aa###ket.com/ckkuylpycc/nnbrswmqa.php?ad################################
- aa###ket.com/ckkuylpycc/oobbff.php?ad################################
- aa###ket.com/ckkuylpycc/flcppgggu.php?ad################################
- aa###ket.com/ckkuylpycc/dnnrvriqm.php?ad################################
Запросы HTTP POST:
- th###able.in/ads76tds76d76.php?in##############################################################################################################
UDP:
- DNS ASK aa###ket.com
- DNS ASK th###able.in
- DNS ASK 11######072d.riffwire.net
- DNS ASK ik##.com
- DNS ASK si###ell.com
- DNS ASK go##le.ae
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
