Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '15g0m6o1adlgt3gezxpgie2wb3hngn0set' = '<SYSTEM32>\viaikskc.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '15g0m6o1adlgt3gezxpgie2wb3hngn0set' = '<SYSTEM32>\viaikskc.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '15g0m6o1adlgt3gezxpgie2wb3hngn0set' = '<SYSTEM32>\viaikskc.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\viaikskc.exe'
- 'C:\AfreecaTV.exe'
- 'C:\svchost.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\attrib.exe' "C:\AfreecaTV.exe" -h -r -s
- '<SYSTEM32>\cmd.exe' /c C:\61k7dbd5oa3xqb7.bat
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: ''
- ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
- ClassName: 'FilemonClass' WindowName: ''
- ClassName: 'pediy06' WindowName: ''
Скрывает следующие процессы:
- C:\AfreecaTV.exe
- <SYSTEM32>\viaikskc.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\viaikskc.exe
- C:\61k7dbd5oa3xqb7.bat
- C:\svchost.exe
- C:\ЅґЖЫёЗАМ µ№ѕЖїФґЩ.E56.141214.HDTV.H264.720p-WITH.torrent
- C:\AfreecaTV.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\viaikskc.exe
Удаляет следующие файлы:
- %TEMP%\~DF87C9.tmp
- %TEMP%\~DF2A68.tmp
- %TEMP%\~DF3AF1.tmp
- %TEMP%\~DFA2AD.tmp
- %TEMP%\~DF4ADB.tmp
- %TEMP%\~DF1E78.tmp
- %TEMP%\~DF2443.tmp
- %TEMP%\~DF27AF.tmp
- %TEMP%\~DFF31.tmp
- %TEMP%\~DF98A9.tmp
- %TEMP%\~DF5FF0.tmp
- %TEMP%\~DF5BB9.tmp
- %TEMP%\~DFF214.tmp
- %TEMP%\~DFC335.tmp
- %TEMP%\~DF48BC.tmp
- %TEMP%\~DF333B.tmp
- %TEMP%\~DF17ED.tmp
- %TEMP%\~DFD287.tmp
- %TEMP%\~DFB33E.tmp
- %TEMP%\~DF619A.tmp
- %TEMP%\~DF2759.tmp
- %TEMP%\~DF561D.tmp
- %TEMP%\~DF4AFB.tmp
- %TEMP%\~DF9CF2.tmp
- %TEMP%\~DFA1E5.tmp
- %TEMP%\~DF8F53.tmp
- %TEMP%\~DF7802.tmp
- %TEMP%\~DF2810.tmp
- %TEMP%\~DF174A.tmp
- %TEMP%\~DFC250.tmp
- %TEMP%\~DF8CB2.tmp
- %TEMP%\~DF5F30.tmp
- %TEMP%\~DF29F3.tmp
Сетевая активность:
Подключается к:
- 'lm#.#mk93.kr.pe':1111
- 'eo#####s1.cafe24.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- eo#####s1.cafe24.com/MSWINSCK.OCX
UDP:
- DNS ASK lm#.#mk93.kr.pe
- DNS ASK eo#####s1.cafe24.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '?? ? ?? ?? ??'
- ClassName: '' WindowName: '?????'
- ClassName: '' WindowName: '??? ?? - ??'
- ClassName: '' WindowName: 'viaikskc.exe ??'
- ClassName: '' WindowName: 'viaikskc.exe ?? ??'
- ClassName: '' WindowName: '???? ?? ?? ??'
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '' WindowName: '??? ??'
- ClassName: '' WindowName: '??? ?? ??? ??'
- ClassName: '' WindowName: '??? ?? ??? ?? ???'
