Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Explore.exe' = '<SYSTEM32>\0.vbs'
- [<HKLM>\SOFTWARE\Classes\.exe] '' = 'jpegfile'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im 360tray.exe
- '<SYSTEM32>\taskkill.exe' /f /im QQPCRTP.exe
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
- '<SYSTEM32>\control.exe' system
- '%WINDIR%\regedit.exe' /s reg.reg
- '<SYSTEM32>\DisplaySwitch.exe'
- '%WINDIR%\helppane.exe' -Embedding
- '<SYSTEM32>\Wat\WatAdminSvc.exe' /run
- '<SYSTEM32>\taskkill.exe' /f /im QQPCTray.exe
- '<SYSTEM32>\taskkill.exe' /f /im KVXP.kxp
- '<SYSTEM32>\schtasks.exe' /run /I /TN "\Microsoft\Windows\Windows Activation Technologies\ValidationTask"
- '<SYSTEM32>\taskhost.exe' SYSTEM
- '<SYSTEM32>\taskkill.exe' /f /im kavsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im Rav.exe
- '<SYSTEM32>\taskkill.exe' /f /im Mcshield.exe
- '<SYSTEM32>\taskkill.exe' /f /im VsTskMgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im Ravmon.exe
- '<SYSTEM32>\utilman.exe' /debug
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogOff' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFileMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetFolders' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewContextMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRecentDocsMenu' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = 'FFFFFFFF'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDesktop' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewOnDrive' = 'FFFFFFFF'
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\ЈµЈёЈіЈ±Јґ
- C:\0.BAT
- <Текущая директория>\Ј¶Ј·Ј·Ј№Јё
- <SYSTEM32>\reg.reg
- <SYSTEM32>\reg.bat
- <Текущая директория>\ЈµЈ°Ј°Ј¶Ј№
- %APPDATA%\Roaming\Microsoft\Speech\Files\UserLexicons\SP_3D885635A8764DD895045495910D29F4.dat
- <Текущая директория>\Ј±ЈёЈ¶ЈµЈ№
- <Текущая директория>\ЈґЈІЈ¶ЈµЈґ
- <Текущая директория>\Ј±ЈµЈґЈІЈё
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\O9GZF0UF
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈН
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈНЈХЈµЈрЈНЈСЈґЈтЈщЈй
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈК
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈі
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈД
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈНЈХЈµЈрЈНЈСЈґЈтЈщЈйЈфЈіЈхЈеЈёЈгЈ¶ЈбЈґЈЩЈІ
- <Текущая директория>\Ј¶Ј±ЈіЈ№Јі
- <SYSTEM32>\0.bat
- <SYSTEM32>\0.vbs
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈНЈХЈµЈрЈНЈСЈґЈтЈщЈйЈфЈіЈхЈеЈёЈгЈ¶ЈбЈґЈЩЈІЈ№ЈИЈ±ЈЩЈгЈЗЈіЈБЈхЈПЈуЈНЈсЈЛЈпЈЙЈн
- <Текущая директория>\ЈІЈґЈёЈґЈІ
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\0.BAT
- <SYSTEM32>\0.bat
- <SYSTEM32>\0.vbs
Удаляет следующие файлы:
- <Текущая директория>\ЈµЈёЈіЈ±Јґ
- <Текущая директория>\ЈµЈ°Ј°Ј¶Ј№
- <Текущая директория>\Ј±ЈµЈґЈІЈё
- <Текущая директория>\Ј¶Ј±ЈіЈ№Јі
- <Текущая директория>\ЈґЈІЈ¶ЈµЈґ
- <Текущая директория>\ЈІЈґЈёЈґЈІ
- <Текущая директория>\Ј¶Ј·Ј·Ј№Јё
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈК
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈД
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈі
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈН
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈНЈХЈµЈрЈНЈСЈґЈтЈщЈйЈфЈіЈхЈеЈёЈгЈ¶ЈбЈґЈЩЈІЈ№ЈИЈ±ЈЩЈгЈЗЈіЈБЈхЈПЈуЈНЈсЈЛЈпЈЙЈн
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈНЈХЈµЈрЈНЈСЈґЈтЈщЈйЈфЈіЈхЈеЈёЈгЈ¶ЈбЈґЈЩЈІ
- C:\ЈлЈВЈµЈуЈъЈкЈДЈиЈВЈжЈ№Ј·ЈвЈµЈЪЈіЈеЈЖЈУЈфЈоЈбЈиЈТЈцЈРЈфЈОЈтЈМЈрЈКЈоЈИЈмЈЖЈкЈДЈШЈуЈІЈфЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈФЈшЈТЈцЈРЈфЈОЈтЈМЈрЈКЈСЈШЈЙЈрЈуЈЧЈЛЈТЈВЈжЈ№ЈдЈ·ЈвЈµЈЪЈіЈШЈ±ЈЦЈъЈФЈшЈТЈхЈПЈуЈНЈХЈµЈрЈНЈСЈґЈтЈщЈй
Самоудаляется.
Сетевая активность:
Подключается к:
- '12#.#25.114.144':80
- 'we#.#ugou.com':80
TCP:
Запросы HTTP GET:
- we#.#ugou.com/
- 12#.#25.114.144/s?wd###################
UDP:
- DNS ASK www.ba##u.com
- DNS ASK we#.#ugou.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'HelpPane' WindowName: ''
