Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] '*1601638588' = '"%WINDIR%\1601638588\winsys.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*1601638588' = '"%WINDIR%\1601638588\winsys.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Win Update' = '%TEMP%\Win Update\Win Update.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%TEMP%\AppLunch\WinUpdate.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\I1601638588.bat" "
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\I1601638588.bat
- %TEMP%\Win Update\Win Update.exe
- %TEMP%\AppLunch\Cho.ine
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
- %TEMP%\AppLunch\WinUpdate.exe
Удаляет следующие файлы:
- %WINDIR%\1601638588\winsys.exe
Перемещает следующие файлы:
- %TEMP%\AppLunch\WinUpdate.exe в %WINDIR%\1601638588\winsys.exe
- %TEMP%\AppLunch\Cho.ine в %TEMP%\AppLunch\WinUpdate.exe
Сетевая активность:
Подключается к:
- 'ir#.#hhcd.info':6667
UDP:
- DNS ASK ir#.#hhcd.info
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: 'Windows Task Manager'
- ClassName: 'Indicator' WindowName: '(null)'
