Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\xen\tcr.exe %APPDATA%\xen\pnd.dnf'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe'
- '%APPDATA%\xen\tcr.exe' %APPDATA%\xen\FECMG
- '%APPDATA%\xen\tcr.exe' pnd.dnf
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbem\wmiprvse.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xen\xkc.txt
- %APPDATA%\xen\jee.dat
- %APPDATA%\xen\axk.dat
- %APPDATA%\xen\FECMG
- %APPDATA%\xen\iul.ppt
- %APPDATA%\xen\eic.ppt
- %APPDATA%\xen\svp.jpg
- %APPDATA%\xen\tcr.exe
- %APPDATA%\xen\pnd.dnf
- %APPDATA%\xen\wkr.docx
- %APPDATA%\xen\ufj.dat
- %APPDATA%\xen\qbw.icm
- %APPDATA%\xen\jao.mp4
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\xen\tcr.exe
Удаляет следующие файлы:
- %APPDATA%\xen\FECMG
Сетевая активность:
Подключается к:
- 'fr######plain.duckdns.org':400
UDP:
- DNS ASK fr######plain.duckdns.org
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
