Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LAN Service' = '%ProgramFiles%\LAN Service\lansv.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\11561466\omr.exe %TEMP%\11561466\lwt=vgx'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%TEMP%\11561466\omr.exe' %TEMP%\11561466\ANJUN
- '%TEMP%\11561466\omr.exe' lwt=vgx
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\11561466\imm.pdf
- %TEMP%\11561466\evw.dat
- %TEMP%\11561466\gnn.mp4
- %TEMP%\11561466\wws.txt
- %TEMP%\11561466\kkp.jpg
- %TEMP%\11561466\gdb.jpg
- %TEMP%\11561466\dkb.docx
- %TEMP%\11561466\mig.ico
- %TEMP%\11561466\wle.icm
- %TEMP%\11561466\kuk.jpg
- %TEMP%\11561466\ktp.mp4
- %TEMP%\11561466\bkd.bmp
- %TEMP%\11561466\ANJUN
- %TEMP%\11561466\fnv.xl
- %TEMP%\11561466\pcv.ico
- %ProgramFiles%\LAN Service\lansv.exe
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\11561466\ini
- %TEMP%\11561466\oha.ico
- %TEMP%\11561466\rlf.bmp
- %TEMP%\11561466\rgf.dat
- %TEMP%\11561466\buv.dat
- %TEMP%\11561466\tic.ico
- %TEMP%\11561466\qre.dat
- %TEMP%\11561466\uvo.mp3
- %TEMP%\11561466\oej.docx
- %TEMP%\11561466\hgq.docx
- %TEMP%\11561466\hhu.pdf
- %TEMP%\11561466\esg.docx
- %TEMP%\11561466\cmm.ico
- %TEMP%\11561466\omr.exe
- %TEMP%\11561466\lwt=vgx
- %TEMP%\11561466\xij.icm
- %TEMP%\11561466\fgl.jpg
- %TEMP%\11561466\snl.ppt
- %TEMP%\11561466\onu.pdf
- %TEMP%\11561466\hmw.txt
- %TEMP%\11561466\ifq.pdf
- %TEMP%\11561466\ajj.pdf
- %TEMP%\11561466\fjx.mp4
- %TEMP%\11561466\xnb.jpg
- %TEMP%\11561466\oba.bmp
- %TEMP%\11561466\qmi.dat
- %TEMP%\11561466\ult.docx
- %TEMP%\11561466\mop.mp4
- %TEMP%\11561466\jvh.icm
- %TEMP%\11561466\dbf.ico
- %TEMP%\11561466\ijn.docx
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\11561466\omr.exe
- %TEMP%\11561466\oha.ico
- %TEMP%\11561466\onu.pdf
- %TEMP%\11561466\qmi.dat
- %TEMP%\11561466\pcv.ico
- %TEMP%\11561466\oej.docx
- %TEMP%\11561466\lwt=vgx
- %TEMP%\11561466\kuk.jpg
- %TEMP%\11561466\mig.ico
- %TEMP%\11561466\oba.bmp
- %TEMP%\11561466\mop.mp4
- %TEMP%\11561466\wle.icm
- %TEMP%\11561466\uvo.mp3
- %TEMP%\11561466\wws.txt
- %TEMP%\11561466\xnb.jpg
- %TEMP%\11561466\xij.icm
- %TEMP%\11561466\ult.docx
- %TEMP%\11561466\rgf.dat
- %TEMP%\11561466\qre.dat
- %TEMP%\11561466\rlf.bmp
- %TEMP%\11561466\tic.ico
- %TEMP%\11561466\snl.ppt
- %TEMP%\11561466\evw.dat
- %TEMP%\11561466\esg.docx
- %TEMP%\11561466\fgl.jpg
- %TEMP%\11561466\fnv.xl
- %TEMP%\11561466\fjx.mp4
- %TEMP%\11561466\dkb.docx
- %TEMP%\11561466\bkd.bmp
- %TEMP%\11561466\ajj.pdf
- %TEMP%\11561466\buv.dat
- %TEMP%\11561466\dbf.ico
- %TEMP%\11561466\cmm.ico
- %TEMP%\11561466\imm.pdf
- %TEMP%\11561466\ijn.docx
- %TEMP%\11561466\jvh.icm
- %TEMP%\11561466\ktp.mp4
- %TEMP%\11561466\kkp.jpg
- %TEMP%\11561466\ifq.pdf
- %TEMP%\11561466\gnn.mp4
- %TEMP%\11561466\gdb.jpg
- %TEMP%\11561466\hgq.docx
- %TEMP%\11561466\hmw.txt
- %TEMP%\11561466\hhu.pdf
Удаляет следующие файлы:
- %TEMP%\11561466\ANJUN
Сетевая активность:
Подключается к:
- 'wi####d123.ddns.net':5794
UDP:
- DNS ASK wi####d123.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
