Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '82e1580ca0bb209b352a36c07aad6393' = '"%APPDATA%\avast.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '82e1580ca0bb209b352a36c07aad6393' = '"%APPDATA%\avast.exe" ..'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\avast.exe' = '%APPDATA%\avast.exe:*:Enabled:avast.exe'
Создает и запускает на исполнение:
- '%TEMP%\core.exe' -woohoo 3256 %TEMP%\LoMkjwQ.exe
- '%APPDATA%\avast.exe'
- '%TEMP%\core.exe' -woohoo 2912 %TEMP%\LoMkjwQ.exe
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\ayyyyy.xml"
- '<SYSTEM32>\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aOOOOO.xml"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\avast.exe" "avast.exe" ENABLE
- '<SYSTEM32>\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\a00000.xml"
- '<SYSTEM32>\notepad.exe' %TEMP%\COMO INSTALAR MAQUINAS.txt
- '<SYSTEM32>\schtasks.exe' /Create /TN "Update\HwgugQ" /XML "%TEMP%\aTTTTT.xml"
Внедряет код в
следующие пользовательские процессы:
- avast.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\avast.exe
- %TEMP%\aTTTTT.xml
- %TEMP%\ayyyyy.xml
- %TEMP%\aOOOOO.xml
- %APPDATA%\Microsoft\CLR Security Config\v2.0.50727.42\security.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %TEMP%\a00000.xml
- %TEMP%\LoMkjwQ.exe
- %TEMP%\core.exe
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %TEMP%\COMO INSTALAR MAQUINAS.txt
Удаляет следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.2992.173765
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.2992.173781
- %TEMP%\ayyyyy.xml
- %TEMP%\a00000.xml
- %TEMP%\aTTTTT.xml
Перемещает следующие файлы:
- %APPDATA%\Microsoft\CLR Security Config\v2.0.50727.42\security.config.cch.new в %APPDATA%\Microsoft\CLR Security Config\v2.0.50727.42\security.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.2992.173781
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.2992.173765
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
Подменяет следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
Сетевая активность:
Подключается к:
- 'zl####at.ddns.net':15772
UDP:
- DNS ASK zl####at.ddns.net
