Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Tregain' = '%APPDATA%\Java\JavaUpdtr.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\20280391\anc.exe %TEMP%\20280391\vou-nir'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
- '%TEMP%\20280391\anc.exe' %TEMP%\20280391\YBLHO
- '%TEMP%\20280391\anc.exe' vou-nir
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander]
- [<HKCU>\Software\Paltalk]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\20280391\ktq.icm
- %TEMP%\20280391\iod.txt
- %TEMP%\20280391\jno.xl
- %TEMP%\20280391\exb.pdf
- %TEMP%\20280391\bow.bmp
- %TEMP%\20280391\oms.docx
- %TEMP%\20280391\bed.ico
- %TEMP%\20280391\tlu.mp3
- %TEMP%\20280391\atx.pdf
- %TEMP%\20280391\lxl.jpg
- %TEMP%\20280391\ssf.bmp
- %TEMP%\20280391\cqg.pdf
- %TEMP%\20280391\ptv.mp4
- %TEMP%\20280391\gni.mp4
- %TEMP%\20280391\nob.ppt
- %APPDATA%\Java\JavaUpdtr.exe
- %TEMP%\20280391\YBLHO
- %TEMP%\20280391\nva.pdf
- %TEMP%\20280391\adj.pdf
- %TEMP%\20280391\glb.xl
- %TEMP%\20280391\auk.jpg
- %TEMP%\20280391\dds.bmp
- %TEMP%\20280391\kii.icm
- %TEMP%\20280391\rqd.mp4
- %TEMP%\20280391\afn.mp3
- %TEMP%\20280391\agn.txt
- %TEMP%\20280391\uoe.xl
- %TEMP%\20280391\hfq.jpg
- %TEMP%\20280391\ggf.pdf
- %TEMP%\20280391\dqv.mp4
- %TEMP%\20280391\anc.exe
- %TEMP%\20280391\vou-nir
- %TEMP%\20280391\bes.mp4
- %TEMP%\20280391\fso.bmp
- %TEMP%\20280391\lng.icm
- %TEMP%\20280391\tnl.ppt
- %TEMP%\20280391\ews.ppt
- %TEMP%\20280391\kxu.jpg
- %TEMP%\20280391\jkl.xl
- %TEMP%\20280391\aaa.icm
- %TEMP%\20280391\vhb.txt
- %TEMP%\20280391\jls.bmp
- %TEMP%\20280391\uui.pdf
- %TEMP%\20280391\aoi.dat
- %TEMP%\20280391\nkb.mp3
- %TEMP%\20280391\bie.icm
- %TEMP%\20280391\jbp.mp3
- %TEMP%\20280391\gvr.pdf
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\20280391\lng.icm
- %TEMP%\20280391\kxu.jpg
- %TEMP%\20280391\lxl.jpg
- %TEMP%\20280391\nob.ppt
- %TEMP%\20280391\nkb.mp3
- %TEMP%\20280391\ktq.icm
- %TEMP%\20280391\jkl.xl
- %TEMP%\20280391\jbp.mp3
- %TEMP%\20280391\jls.bmp
- %TEMP%\20280391\kii.icm
- %TEMP%\20280391\jno.xl
- %TEMP%\20280391\nva.pdf
- %TEMP%\20280391\uui.pdf
- %TEMP%\20280391\uoe.xl
- %TEMP%\20280391\vhb.txt
- %APPDATA%\Java\JavaUpdtr.exe
- %TEMP%\20280391\vou-nir
- %TEMP%\20280391\tnl.ppt
- %TEMP%\20280391\ptv.mp4
- %TEMP%\20280391\oms.docx
- %TEMP%\20280391\rqd.mp4
- %TEMP%\20280391\tlu.mp3
- %TEMP%\20280391\ssf.bmp
- %TEMP%\20280391\iod.txt
- %TEMP%\20280391\auk.jpg
- %TEMP%\20280391\atx.pdf
- %TEMP%\20280391\bed.ico
- %TEMP%\20280391\bie.icm
- %TEMP%\20280391\bes.mp4
- %TEMP%\20280391\aoi.dat
- %TEMP%\20280391\adj.pdf
- %TEMP%\20280391\aaa.icm
- %TEMP%\20280391\afn.mp3
- %TEMP%\20280391\anc.exe
- %TEMP%\20280391\agn.txt
- %TEMP%\20280391\bow.bmp
- %TEMP%\20280391\glb.xl
- %TEMP%\20280391\ggf.pdf
- %TEMP%\20280391\gni.mp4
- %TEMP%\20280391\hfq.jpg
- %TEMP%\20280391\gvr.pdf
- %TEMP%\20280391\fso.bmp
- %TEMP%\20280391\dds.bmp
- %TEMP%\20280391\cqg.pdf
- %TEMP%\20280391\dqv.mp4
- %TEMP%\20280391\exb.pdf
- %TEMP%\20280391\ews.ppt
Удаляет следующие файлы:
- %TEMP%\20280391\YBLHO
Сетевая активность:
Подключается к:
- 'ma##.gandi.net':587
- 'ch####p.dyndns.org':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://ch####p.dyndns.org/
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK ma##.gandi.net
- DNS ASK ch####p.dyndns.org
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
