Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '15g0m6o1adlgt3gezxpgie2wb3hngn0set' = '<SYSTEM32>\gulrmmjr.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '15g0m6o1adlgt3gezxpgie2wb3hngn0set' = '<SYSTEM32>\gulrmmjr.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '15g0m6o1adlgt3gezxpgie2wb3hngn0set' = '<SYSTEM32>\gulrmmjr.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\gulrmmjr.exe'
- 'C:\AfreecaTV.exe'
- 'C:\svchost.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\attrib.exe' "C:\AfreecaTV.exe" -h -r -s
- '<SYSTEM32>\cmd.exe' /c C:\j3rlidb6o8vvhvg.bat
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: ''
- ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
- ClassName: 'FilemonClass' WindowName: ''
- ClassName: 'pediy06' WindowName: ''
Скрывает следующие процессы:
- C:\AfreecaTV.exe
- <SYSTEM32>\gulrmmjr.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\gulrmmjr.exe
- C:\j3rlidb6o8vvhvg.bat
- C:\svchost.exe
- C:\№МіаАЗ+Еє»э.E14.141214.HDTV.H264.720p-WITH.mp4.torrent
- C:\AfreecaTV.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\gulrmmjr.exe
Удаляет следующие файлы:
- %TEMP%\~DF88C9.tmp
- %TEMP%\~DFE3.tmp
- %TEMP%\~DFE549.tmp
- %TEMP%\~DFB17C.tmp
- %TEMP%\~DF5E91.tmp
- %TEMP%\~DF69CE.tmp
- %TEMP%\~DF6C57.tmp
- %TEMP%\~DF4FBC.tmp
- %TEMP%\~DF3527.tmp
- %TEMP%\~DFEB06.tmp
- %TEMP%\~DF7723.tmp
- %TEMP%\~DF37AA.tmp
- %TEMP%\~DF831F.tmp
- %TEMP%\~DF219A.tmp
- %TEMP%\~DFF83D.tmp
- %TEMP%\~DFE75.tmp
- %TEMP%\~DF7A2.tmp
- %TEMP%\~DF9847.tmp
- %TEMP%\~DF7B37.tmp
- %TEMP%\~DF25E4.tmp
- %TEMP%\~DFCEA5.tmp
- %TEMP%\~DF5B83.tmp
- %TEMP%\~DF4F78.tmp
- %TEMP%\~DF7A23.tmp
- %TEMP%\~DF6ABE.tmp
- %TEMP%\~DF5792.tmp
- %TEMP%\~DF3884.tmp
- %TEMP%\~DF7443.tmp
- %TEMP%\~DF44D7.tmp
- %TEMP%\~DF56C0.tmp
- %TEMP%\~DF9AEC.tmp
- %TEMP%\~DF880D.tmp
- %TEMP%\~DF422F.tmp
- %TEMP%\~DFF180.tmp
Сетевая активность:
Подключается к:
- 'lm#.#mk93.kr.pe':1111
- 'eo#####s1.cafe24.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- eo#####s1.cafe24.com/MSWINSCK.OCX
UDP:
- DNS ASK lm#.#mk93.kr.pe
- DNS ASK eo#####s1.cafe24.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '?? ? ?? ?? ??'
- ClassName: '' WindowName: '?????'
- ClassName: '' WindowName: '??? ?? - ??'
- ClassName: '' WindowName: 'gulrmmjr.exe ??'
- ClassName: '' WindowName: 'gulrmmjr.exe ?? ??'
- ClassName: '' WindowName: '???? ?? ?? ??'
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '' WindowName: '??? ??'
- ClassName: '' WindowName: '??? ?? ??? ??'
- ClassName: '' WindowName: '??? ?? ??? ?? ???'
