Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LAN Service' = '%ProgramFiles%\LAN Service\lansv.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\99455949\xnq.exe %TEMP%\99455949\npv=bkp'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%TEMP%\99455949\xnq.exe' %TEMP%\99455949\HGZAP
- '%TEMP%\99455949\xnq.exe' npv=bkp
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\99455949\mvk.dat
- %TEMP%\99455949\avu.ico
- %TEMP%\99455949\plv.docx
- %TEMP%\99455949\ers.mp4
- %TEMP%\99455949\acd.xl
- %TEMP%\99455949\sbw.bmp
- %TEMP%\99455949\vjx.bmp
- %TEMP%\99455949\pln.xl
- %TEMP%\99455949\vmv.jpg
- %TEMP%\99455949\fcd.mp3
- %TEMP%\99455949\ghx.icm
- %TEMP%\99455949\rnn.ppt
- %TEMP%\99455949\hgo.icm
- %TEMP%\99455949\cjv.bmp
- %TEMP%\99455949\HGZAP
- %TEMP%\99455949\vhj.xl
- %TEMP%\99455949\oej.ico
- %ProgramFiles%\LAN Service\lansv.exe
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\99455949\ini
- %TEMP%\99455949\vfh.bmp
- %TEMP%\99455949\hmo.bmp
- %TEMP%\99455949\lav.xl
- %TEMP%\99455949\ncc.docx
- %TEMP%\99455949\qww.docx
- %TEMP%\99455949\jke.mp3
- %TEMP%\99455949\hmt.jpg
- %TEMP%\99455949\sek.mp4
- %TEMP%\99455949\ucl.icm
- %TEMP%\99455949\ltp.ppt
- %TEMP%\99455949\fut.jpg
- %TEMP%\99455949\hsa.docx
- %TEMP%\99455949\xlb.mp3
- %TEMP%\99455949\nqx.mp4
- %TEMP%\99455949\gjo.ico
- %TEMP%\99455949\xnq.exe
- %TEMP%\99455949\npv=bkp
- %TEMP%\99455949\iuc.txt
- %TEMP%\99455949\jie.docx
- %TEMP%\99455949\gcn.bmp
- %TEMP%\99455949\jjb.mp3
- %TEMP%\99455949\dlt.bmp
- %TEMP%\99455949\kqj.ppt
- %TEMP%\99455949\blx.txt
- %TEMP%\99455949\nqw.txt
- %TEMP%\99455949\bhp.ico
- %TEMP%\99455949\rcw.pdf
- %TEMP%\99455949\hqs.xl
- %TEMP%\99455949\imu.txt
- %TEMP%\99455949\ddu.ico
- %TEMP%\99455949\aet.dat
- %TEMP%\99455949\uuw.xl
- %TEMP%\99455949\dws.mp3
- %TEMP%\99455949\csp.mp4
- %TEMP%\99455949\juu.icm
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\99455949\nqx.mp4
- %TEMP%\99455949\nqw.txt
- %TEMP%\99455949\npv=bkp
- %TEMP%\99455949\plv.docx
- %TEMP%\99455949\pln.xl
- %TEMP%\99455949\oej.ico
- %TEMP%\99455949\lav.xl
- %TEMP%\99455949\kqj.ppt
- %TEMP%\99455949\juu.icm
- %TEMP%\99455949\ncc.docx
- %TEMP%\99455949\mvk.dat
- %TEMP%\99455949\ltp.ppt
- %TEMP%\99455949\qww.docx
- %TEMP%\99455949\vjx.bmp
- %TEMP%\99455949\vhj.xl
- %TEMP%\99455949\vfh.bmp
- %TEMP%\99455949\xnq.exe
- %TEMP%\99455949\xlb.mp3
- %TEMP%\99455949\vmv.jpg
- %TEMP%\99455949\sbw.bmp
- %TEMP%\99455949\rnn.ppt
- %TEMP%\99455949\rcw.pdf
- %TEMP%\99455949\uuw.xl
- %TEMP%\99455949\ucl.icm
- %TEMP%\99455949\sek.mp4
- %TEMP%\99455949\jke.mp3
- %TEMP%\99455949\dlt.bmp
- %TEMP%\99455949\ddu.ico
- %TEMP%\99455949\csp.mp4
- %TEMP%\99455949\fcd.mp3
- %TEMP%\99455949\ers.mp4
- %TEMP%\99455949\dws.mp3
- %TEMP%\99455949\avu.ico
- %TEMP%\99455949\aet.dat
- %TEMP%\99455949\acd.xl
- %TEMP%\99455949\cjv.bmp
- %TEMP%\99455949\blx.txt
- %TEMP%\99455949\bhp.ico
- %TEMP%\99455949\fut.jpg
- %TEMP%\99455949\imu.txt
- %TEMP%\99455949\hsa.docx
- %TEMP%\99455949\hqs.xl
- %TEMP%\99455949\jjb.mp3
- %TEMP%\99455949\jie.docx
- %TEMP%\99455949\iuc.txt
- %TEMP%\99455949\gjo.ico
- %TEMP%\99455949\ghx.icm
- %TEMP%\99455949\gcn.bmp
- %TEMP%\99455949\hmt.jpg
- %TEMP%\99455949\hmo.bmp
- %TEMP%\99455949\hgo.icm
Удаляет следующие файлы:
- %TEMP%\99455949\HGZAP
Сетевая активность:
Подключается к:
- 'tw####r217.ddns.net':34346
UDP:
- DNS ASK tw####r217.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
