Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ftp.exe' = '<SYSTEM32>\ftp.exe:*:Enabled:FTP'
Запускает на исполнение:
- <SYSTEM32>\netsh.exe AdvFirewall Firewall add rule name="Windows FTP in" dir=in program="<SYSTEM32>\ftp.exe" enable=yes security=notrequired action=allow
- <SYSTEM32>\netsh.exe AdvFirewall Firewall add rule name="Windows FTP out" dir=out program="<SYSTEM32>\ftp.exe" enable=yes security=notrequired action=allow
- <SYSTEM32>\ftp.exe -s:%WINDIR%\svchost\data.ini -v -i
- <SYSTEM32>\wscript.exe "%WINDIR%\svchost\svchost.vbs"
- <SYSTEM32>\cmd.exe /c ""%WINDIR%\svchost\Start.bat" "
- <SYSTEM32>\netsh.exe firewall set allowedprogram <SYSTEM32>\ftp.exe FTP ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\svchost\data.ini
- %WINDIR%\svchost\send.ini
- %WINDIR%\svchost\svchost.vbs
- %WINDIR%\svchost\Start.bat
Сетевая активность:
Подключается к:
- 'ft#.##ethost16.com':21
- 'localhost':1035
UDP:
- DNS ASK ft#.##ethost16.com
- '<IP-адрес в локальной сети>':1036
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
