Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\jwaroevi\rarexsdb.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RarExsdb' = '<LS_APPDATA>\jwaroevi\rarexsdb.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\rarexsdb.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '%TEMP%\byjjjqlf.exe'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- byjjjqlf.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\ybfcuwpc.log
- <LS_APPDATA>\lawhwilb.log
- <LS_APPDATA>\jwaroevi\rarexsdb.exe
- %TEMP%\byjjjqlf.exe
- %TEMP%\ifqydaby.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Start Menu\Programs\Startup\rarexsdb.exe
Сетевая активность:
Подключается к:
- 'pt#####qvkwhlksktks.com':443
- 'iv####kfqfktn.com':443
- 'tt###nqxxd.com':443
- 'av###oucm.com':443
- 'ju####cktjpjw.com':443
- 'oe####92yrhbdyt.com':443
- '74.##5.232.51':80
- 'td####geltglb.com':443
- 'hu####ekpfigun.com':443
UDP:
- DNS ASK ni####geceis.com
- DNS ASK ou####kclssa.com
- DNS ASK yg###imkh.com
- DNS ASK ud#####ctalofbqdsj.com
- DNS ASK cc####bohwlfbl.com
- DNS ASK ki####wiesmgw.com
- DNS ASK jn####vbbrgiu.com
- DNS ASK ec###tssa.com
- DNS ASK sa#####gwsjtbkckmm.com
- DNS ASK ab####exehslrcq.com
- DNS ASK bl####ckhdndfi.com
- DNS ASK vj#####ocmcbltmds.com
- DNS ASK ab####nbdvqg.com
- DNS ASK qd####rjrpgk.com
- DNS ASK go####oonbbx.com
- DNS ASK ci#####rbjketwddld.com
- DNS ASK bing.com
- DNS ASK xm###xtg.com
- DNS ASK ry#####whwatkcjym.com
- DNS ASK pc#####ghhsnwtqmuel.com
- DNS ASK lp#####luislqejcxo.com
- DNS ASK fg####guigbr.com
- DNS ASK kd###lcspej.com
- DNS ASK xh####xphcalx.com
- DNS ASK ij#####mpexudxfhbi.com
- DNS ASK me####nfufwmeq.com
- DNS ASK xm#####ckdooqygji.com
- DNS ASK vf####wlhrpoit.com
- DNS ASK tt###nqxxd.com
- DNS ASK av###oucm.com
- DNS ASK ax###lao.com
- DNS ASK tj#####iiyflmfrahq.com
- DNS ASK rd###qlmc.com
- DNS ASK pt#####qvkwhlksktks.com
- DNS ASK hu####ekpfigun.com
- DNS ASK oe####92yrhbdyt.com
- DNS ASK google.com
- DNS ASK iv####kfqfktn.com
- DNS ASK ju####cktjpjw.com
- DNS ASK td####geltglb.com
- DNS ASK hx#####xbbwnfdss.com
- DNS ASK ry####oxaysro.com
- DNS ASK pn#####sowftmdmq.com
- DNS ASK iw###rmc.com
- DNS ASK ld#####wcpltvrffb.com
- DNS ASK qh###rkmni.com
- DNS ASK aw#####ayvbiugemvwp.com
- DNS ASK uj####woobqrckr.com
- DNS ASK ap####opqjycfhb.com
- DNS ASK qm####wxsymbe.com
- DNS ASK qw#####njturjnwoab.com
- DNS ASK cr####kyshsjick.com
- DNS ASK ww####rwryslk.com
