Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'wAj40Jw' = '%HOMEPATH%\aNs11Pg\taskmgr.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe' = '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe:*:Enabled:RegSvcs.exe'
Создает и запускает на исполнение:
- '%TEMP%\ir_ext_temp_0\autorun.exe' "SFXSOURCE:%HOMEPATH%\aNs11Pg\WinRARx64(64bit)v5.01Final+KeyReg[ChattChittoRG].exe"
- '%HOMEPATH%\aNs11Pg\WinRARx64(64bit)v5.01Final+KeyReg[ChattChittoRG].exe'
- '%HOMEPATH%\aNs11Pg\taskmgr.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe" "RegSvcs.exe" ENABLE
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ir_ext_temp_0\AutoPlay\Images\CC8.jpg
- %TEMP%\ir_ext_temp_0\AutoPlay\Images\btn_donate_SM.gif
- %TEMP%\ir_ext_temp_0\AutoPlay\Plugins\Clipboard\Clipboard.lmd
- %TEMP%\ir_ext_temp_0\AutoPlay\Images\hoBrl77.png
- %TEMP%\ir_ext_temp_0\AutoPlay\Flash\indigo_i.swf
- %TEMP%\ir_ext_temp_0\AutoPlay\Flash\indigo_glitter.swf
- %TEMP%\ir_ext_temp_0\AutoPlay\Images\attention.png
- %TEMP%\ir_ext_temp_0\AutoPlay\Images\600px-Feed_Icon_Bl-Or.png
- %TEMP%\ir_ext_temp_0\AutoPlay\Plugins\IRDissolveTransition.tns
- %TEMP%\_ir_tmpfnt_1\Arial_1.TFT
- %TEMP%\_ir_tmpfnt_1\Verdana_1.TFT
- %TEMP%\_ir_tmpfnt_1\Symbol.TFT
- %TEMP%\_ir_tmpfnt_1\Trajan Pro.TFT
- %TEMP%\ir_ext_temp_0\AutoPlay\Plugins\IRWipeTransitions.tns
- %TEMP%\ir_ext_temp_0\AutoPlay\Plugins\IRSlideTransition.tns
- %TEMP%\ir_ext_temp_0\ChattChittoRG.ico
- %TEMP%\ir_ext_temp_0\autorun.exe
- %TEMP%\ir_ext_temp_0\AutoPlay\Flash\indigo_clouds.swf
- %TEMP%\ir_ext_temp_0\AutoPlay\Audio\High1.ogg
- %TEMP%\ir_ext_temp_0\AutoPlay\Audio\Click1.ogg
- %TEMP%\ir_ext_temp_0\AutoPlay\Buttons\10_1785.btn
- %TEMP%\ir_ext_temp_0\AutoPlay\autorun.cdd
- %HOMEPATH%\aNs11Pg\taskmgr.exe
- %HOMEPATH%\aNs11Pg\WinRARx64(64bit)v5.01Final+KeyReg[ChattChittoRG].exe
- %TEMP%\ir_ext_temp_0\AutoPlay\Audio\03 Stolen Child.wma
- %HOMEPATH%\aNs11Pg\iSz.tzo
- %TEMP%\aut1.tmp
- %TEMP%\ir_ext_temp_0\AutoPlay\Docs\rarreg.zip
- %TEMP%\ir_ext_temp_0\AutoPlay\Docs\ChattChitto RG.nfo.txt
- %TEMP%\ir_ext_temp_0\AutoPlay\Flash\globe.swf
- %TEMP%\ir_ext_temp_0\AutoPlay\Docs\winrar-x64-501.exe
- %TEMP%\lOh40Jz.TO9
- %TEMP%\ir_ext_temp_0\AutoPlay\Buttons\3_1644.btn
- %TEMP%\ir_ext_temp_0\AutoPlay\Buttons\7_1644.btn
- %TEMP%\ir_ext_temp_0\AutoPlay\Buttons\50_1644.btn
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\lOh40Jz.TO9
Удаляет следующие файлы:
- %TEMP%\lOh40Jz.TO9
- %TEMP%\aut1.tmp
Сетевая активность:
Подключается к:
- 'as####asava.dnsd.me':1336
UDP:
- DNS ASK as####asava.dnsd.me
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
