Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ARS' = '"%APPDATA%\ARS\ars.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ARS' = '"%APPDATA%\ARS\ars.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ge.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" gc.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" gw.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" GVOnline.bin
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" elementclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ccapp.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cabalmain.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" dnf.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" dekaron.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" maplestory.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" magent.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" Mir3Game.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" MCAGENT.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" lotroclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" InphaseNXD.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" httplook.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" lin.bin
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" l2.bin
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" sgbclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" rclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" tiny.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" startclient7.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" oncbcli.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" kb_cli.ex
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ISClient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" loadmain.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" kb_cli.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" iexplore.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" firefox.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" safari.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" opera.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" chrome.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" UniStream.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" translink.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" webmoney.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" wclnt.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" Ragexe.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" putty.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ntvdm.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ZZ__cd75efb816b2cc__.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" __cd75efb816b2cc__.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" javaw.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" wsm.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" trillian.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" java.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" YahooMessenger.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" <Имя файла>.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" angar2.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" dumper_net.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ars.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" WindowsKiller.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cmd.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" thp.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cscript.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AngarCl.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" woool.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" winbaram.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ybclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" wow.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" TwelveSky2.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" smc.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" RagFree.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" sro_client.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" so3d.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" pidgin.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" msnmsgr.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" skype.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" qip.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" msn6.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" googletalk.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" zlclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" miranda32.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ICQ.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVP32.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVP.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVPM.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVPCC.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVP.COM
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" avgcc.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ashAvSrv.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVGCTRL.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVGCC32.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" Drweb32w.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" drweb.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" Drwebupw.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" drweb386.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ClamWin.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bdagent.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" AVSYNMGR.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bdsubmit.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bdss.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" services.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" winlogon.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" svchost.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" lsass.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" csrss.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" [System Process]
- '%APPDATA%\ARS\ars.exe'
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" smss.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" System
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" aion.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ageofconan.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ashAvast.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ash.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" 360tray.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ctfmon.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" spoolsv.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" alg.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" DbgPrintLog.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" Drwebwcl.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cbmain.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cbmain.ex
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" clbank.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cbsmain.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" cbank.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bc_loader.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" BBClient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bk.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bclient.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" inbank-start-ff.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" elbank.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" iscc.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" intpro.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" el_cli.ex
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" clmain.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" client7.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" contactNG.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" clntw32.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" fsavgui.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" fsavaui.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" mpftray.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" GUARD.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" fsav32.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" egni.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ecmd.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" fsav.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ekrn.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" zapro.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" spidernt.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" bankcl.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" ZONEALARM.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" outpost.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" netxray.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" NAVAPW32.EXE
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" nod32.exe
- '%APPDATA%\ARS\UDI_x32.exe' "%APPDATA%\ARS\shadow32.dll" nod.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ARS\shadow32.dll
- %APPDATA%\ARS\shadow64.dll
- %APPDATA%\ARS\UDI_x32.exe
- %APPDATA%\ARS\ars.exe
- %APPDATA%\ARS\UDI_x64.exe
Удаляет следующие файлы:
- %APPDATA%\ARS\ars.exe
Сетевая активность:
Подключается к:
- 'rf###rfrfhk.ga':80
- 'gt###fnsyrf.ga':80
TCP:
Запросы HTTP GET:
- http://rf###rfrfhk.ga/ars/gate.php?hw#####################################################################
- http://gt###fnsyrf.ga/ars/gate.php?hw#####################################################################
UDP:
- DNS ASK rf###rfrfhk.ga
- DNS ASK gt###fnsyrf.ga
