Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\62897545\ffo.exe %TEMP%\62897545\wih=ppm'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%TEMP%\62897545\ffo.exe' %TEMP%\62897545\JUVGE
- '%TEMP%\62897545\ffo.exe' wih=ppm
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\62897545\fow.dat
- %TEMP%\62897545\vrp.pdf
- %TEMP%\62897545\kvx.jpg
- %TEMP%\62897545\eic.mp4
- %TEMP%\62897545\ccp.dat
- %TEMP%\62897545\cuh.ico
- %TEMP%\62897545\psd.mp3
- %TEMP%\62897545\rnl.xl
- %TEMP%\62897545\tks.mp3
- %TEMP%\62897545\fjf.docx
- %TEMP%\62897545\ovc.dat
- %TEMP%\62897545\xgg.mp3
- %TEMP%\62897545\wrq.txt
- %TEMP%\62897545\pfk.mp3
- %TEMP%\62897545\lkt.txt
- %TEMP%\62897545\ave.jpg
- %TEMP%\62897545\tvw.pdf
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\62897545\ini
- %TEMP%\62897545\JUVGE
- %TEMP%\62897545\gme.jpg
- %TEMP%\62897545\htu.bmp
- %TEMP%\62897545\vjs.docx
- %TEMP%\62897545\dov.ppt
- %TEMP%\62897545\kht.mp3
- %TEMP%\62897545\nse.mp4
- %TEMP%\62897545\hrn.xl
- %TEMP%\62897545\sch.jpg
- %TEMP%\62897545\xui.txt
- %TEMP%\62897545\ghi.ppt
- %TEMP%\62897545\ffi.xl
- %TEMP%\62897545\jmj.mp4
- %TEMP%\62897545\jde.ppt
- %TEMP%\62897545\axt.icm
- %TEMP%\62897545\ase.ico
- %TEMP%\62897545\ffo.exe
- %TEMP%\62897545\wih=ppm
- %TEMP%\62897545\ers.icm
- %TEMP%\62897545\sbb.dat
- %TEMP%\62897545\sdt.txt
- %TEMP%\62897545\lel.mp4
- %TEMP%\62897545\jvs.jpg
- %TEMP%\62897545\kik.mp4
- %TEMP%\62897545\idk.ppt
- %TEMP%\62897545\edp.icm
- %TEMP%\62897545\pbc.txt
- %TEMP%\62897545\mrr.xl
- %TEMP%\62897545\itq.txt
- %TEMP%\62897545\sxu.ppt
- %TEMP%\62897545\usq.bmp
- %TEMP%\62897545\slj.dat
- %TEMP%\62897545\exq.bmp
- %TEMP%\62897545\bpc.docx
- %TEMP%\62897545\maq.icm
- %TEMP%\62897545\vpf.bmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\62897545\psd.mp3
- %TEMP%\62897545\pfk.mp3
- %TEMP%\62897545\pbc.txt
- %TEMP%\62897545\sch.jpg
- %TEMP%\62897545\sbb.dat
- %TEMP%\62897545\rnl.xl
- %TEMP%\62897545\ovc.dat
- %TEMP%\62897545\lkt.txt
- %TEMP%\62897545\lel.mp4
- %TEMP%\62897545\kvx.jpg
- %TEMP%\62897545\nse.mp4
- %TEMP%\62897545\mrr.xl
- %TEMP%\62897545\maq.icm
- %TEMP%\62897545\wih=ppm
- %TEMP%\62897545\vrp.pdf
- %TEMP%\62897545\vpf.bmp
- %TEMP%\62897545\xui.txt
- %TEMP%\62897545\xgg.mp3
- %TEMP%\62897545\wrq.txt
- %TEMP%\62897545\vjs.docx
- %TEMP%\62897545\sxu.ppt
- %TEMP%\62897545\slj.dat
- %TEMP%\62897545\sdt.txt
- %TEMP%\62897545\usq.bmp
- %TEMP%\62897545\tvw.pdf
- %TEMP%\62897545\tks.mp3
- %TEMP%\62897545\ers.icm
- %TEMP%\62897545\eic.mp4
- %TEMP%\62897545\edp.icm
- %TEMP%\62897545\ffo.exe
- %TEMP%\62897545\ffi.xl
- %TEMP%\62897545\exq.bmp
- %TEMP%\62897545\dov.ppt
- %TEMP%\62897545\axt.icm
- %TEMP%\62897545\ave.jpg
- %TEMP%\62897545\ase.ico
- %TEMP%\62897545\cuh.ico
- %TEMP%\62897545\ccp.dat
- %TEMP%\62897545\bpc.docx
- %TEMP%\62897545\jmj.mp4
- %TEMP%\62897545\jde.ppt
- %TEMP%\62897545\itq.txt
- %TEMP%\62897545\kik.mp4
- %TEMP%\62897545\kht.mp3
- %TEMP%\62897545\jvs.jpg
- %TEMP%\62897545\idk.ppt
- %TEMP%\62897545\ghi.ppt
- %TEMP%\62897545\fow.dat
- %TEMP%\62897545\fjf.docx
- %TEMP%\62897545\htu.bmp
- %TEMP%\62897545\hrn.xl
- %TEMP%\62897545\gme.jpg
Удаляет следующие файлы:
- %TEMP%\62897545\JUVGE
Сетевая активность:
Подключается к:
- 'xe###extme.us':49251
UDP:
- DNS ASK xe###extme.us
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
