Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\jwaroevi\rarexsdb.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RarExsdb' = '<LS_APPDATA>\jwaroevi\rarexsdb.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\rarexsdb.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '%TEMP%\byjjjqlf.exe'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\jwaroevi\rarexsdb.exe
- %TEMP%\ifqydaby.exe
- <LS_APPDATA>\lawhwilb.log
- %ALLUSERSPROFILE%\Application Data\ybfcuwpc.log
- %TEMP%\~DF683C.tmp
- %TEMP%\~DF5294.tmp
- %TEMP%\~DF522A.tmp
- %TEMP%\~DF67CA.tmp
- %TEMP%\byjjjqlf.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Start Menu\Programs\Startup\rarexsdb.exe
Сетевая активность:
Подключается к:
- 'jr###tpwr.com':443
- 'wg#####ccyaebgdgn.com':443
- 'fx###xmrry.com':443
- 'ji###eoa.com':443
- 'aa#####dnhhidhwk.com':443
- 'vb#####dfbcvqgrfxa.com':443
- 'bu####slvjlmf.com':443
- 'ok####eu3017uhe.com':443
- '74.##5.232.51':80
- 'si#####sqjuvlwif.com':443
- 'ly#####elikfigrbnxo.com':443
- 'wv####jaaorsi.com':443
UDP:
- DNS ASK qa####igguti.com
- DNS ASK tt###tosrtl.com
- DNS ASK il#####yrctwwysk.com
- DNS ASK ov#####ocsrqrtks.com
- DNS ASK um###sufev.com
- DNS ASK oh###igik.com
- DNS ASK hp###cor.com
- DNS ASK yo####humejfhm.com
- DNS ASK pl###sethqb.com
- DNS ASK xf###syao.com
- DNS ASK xp###vtu.com
- DNS ASK ko###fditlc.com
- DNS ASK xk###lwxmy.com
- DNS ASK lf###mphn.com
- DNS ASK ri###grqrod.com
- DNS ASK ms#####wrtmjjjrgeew.com
- DNS ASK bing.com
- DNS ASK at###tvaqr.com
- DNS ASK gy####yrhwyugui.com
- DNS ASK jf####lnipoo.com
- DNS ASK fq#####dkdmjjfceuf.com
- DNS ASK uv###iuphhf.com
- DNS ASK ry###vevpka.com
- DNS ASK fu#####emwdbmsmcx.com
- DNS ASK hw###ogofk.com
- DNS ASK hk####tomfuev.com
- DNS ASK mk###umsg.com
- DNS ASK vb#####dfbcvqgrfxa.com
- DNS ASK jr###tpwr.com
- DNS ASK wg#####ccyaebgdgn.com
- DNS ASK xo####silknsdub.com
- DNS ASK ji###eoa.com
- DNS ASK aa#####dnhhidhwk.com
- DNS ASK fx###xmrry.com
- DNS ASK bu####slvjlmf.com
- DNS ASK ok####eu3017uhe.com
- DNS ASK google.com
- DNS ASK si#####sqjuvlwif.com
- DNS ASK ly#####elikfigrbnxo.com
- DNS ASK wv####jaaorsi.com
- DNS ASK ns###idxuwb.com
- DNS ASK xq####rtkdxdi.com
- DNS ASK mx###fesqlk.com
- DNS ASK ur#####ytfyiaaly.com
- DNS ASK kt####drwbwpwwb.com
- DNS ASK vq###cqpjj.com
- DNS ASK qp#####qduvbkiusgba.com
- DNS ASK rk####eyqjxwjh.com
- DNS ASK if#####ujqprjwuwt.com
- DNS ASK wq####qhvdwd.com
- DNS ASK ye###hhcg.com
- DNS ASK du#####gvkhcsmvioj.com
- DNS ASK lp###dyw.com
