Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bwycazsr' = '"%WINDIR%\eboquxux.exe"'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Создает и запускает на исполнение:
- '<Полный путь к файлу>'
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Blanc-Sablon
- %APPDATA%\chunk.first.sections.xml
- %APPDATA%\unsafe.js
- %APPDATA%\uninstall.png
- %APPDATA%\pcdrkeyboard.p5m
- %APPDATA%\htmlhelp.show.menu.xml
- %APPDATA%\tweakChkDsk_he.p5p
- %APPDATA%\glib20.mo
- %APPDATA%\man.charmap.subset.profile.english.xml
- %APPDATA%\404-7.htm
- %APPDATA%\textCallBack.c
- %APPDATA%\README-en
- %APPDATA%\Apia
- %APPDATA%\EUC-V
- %APPDATA%\BadBits.mm
- %APPDATA%\Graph1.mpl
- %APPDATA%\BMY brown 1.ADO
- %APPDATA%\Mauve.pMP
- %APPDATA%\Cube Wrap.dae
- %APPDATA%\da.pak
- %APPDATA%\OpenCandy.dll
- %APPDATA%\.travis.yml
- %APPDATA%\f11.png
- %ALLUSERSPROFILE%\Application Data\upupuvimibudygax\ajewiqyj
- %ALLUSERSPROFILE%\Application Data\upupuvimibudygax\ejewevyj
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\plain[1]
- %WINDIR%\eboquxux.exe
- %ALLUSERSPROFILE%\Application Data\upupuvimibudygax\enewegyj
- %APPDATA%\config.js
- %APPDATA%\Red Filter.blw
- %APPDATA%\refresh_10.png
- %APPDATA%\cyan bl 2.ADO
- %APPDATA%\EmbeddingExampleXML2FO.png
- %APPDATA%\159 dk orange bl 1.ADO
- %APPDATA%\toc.line.properties.xml
- %APPDATA%\sgr1996phon.env
- %APPDATA%\foil.properties.xml
- %APPDATA%\4.gif
- %APPDATA%\support_forums.png
- %APPDATA%\Beulah
- %APPDATA%\fan.png
- %APPDATA%\red 485 bl 1.ADO
- %APPDATA%\index.number.separator.xml
- %APPDATA%\widescreen_television.png
- %APPDATA%\normal.para.spacing.xml
- %APPDATA%\footnote.sep.leader.properties.xml
- %APPDATA%\tweakRepairWinsock_tr.p5p
- %APPDATA%\GMT-9
- %APPDATA%\ic_vrestore.log
- %APPDATA%\magnetometer.png
- %TEMP%\nsc2.tmp\System.dll
- %APPDATA%\ExternLooseleaf.3K8
- %APPDATA%\authors.xml
- %APPDATA%\toc.section.depth.xml
- %APPDATA%\Maximum White.blw
- %APPDATA%\speaker_disabled.png
- %APPDATA%\text.toc.xml
- %APPDATA%\xref.title-page.separator.xml
- %APPDATA%\Circle_VideoInset.png
- %APPDATA%\dsc_backup_tile.png
- %APPDATA%\netaapl64.inf
- %APPDATA%\jvm.cfg
- %APPDATA%\back-2.png
- %APPDATA%\Products.txt
- %APPDATA%\section.title.level1.properties.xml
- %APPDATA%\overlay.js
- %APPDATA%\nav.table.summary.xml
- %APPDATA%\scriptconfirmation.css
- %APPDATA%\GBK2K-V
- %APPDATA%\refresh_11.png
- %APPDATA%\Black - White.act
- %APPDATA%\t9.png
- %APPDATA%\alerts.png
- %APPDATA%\Steel - Polished Grey.3PP
- %APPDATA%\service_contracts_icon.png
- %APPDATA%\help_disabled.png
Сетевая активность:
Подключается к:
- 'an####.joystarter.biz':443
- 'mn###.#oystarter.biz':443
- 'en####.joystarter.biz':443
- 'ad###.#oystarter.biz':443
- 'eb##.#oystarter.biz':443
- 'gt######amu.joystarter.biz':443
- '12#.31.0.39':9101
- '20#.#3.223.34':80
- 'ib######omy.joystarter.biz':443
- 'ip##ho.net':80
TCP:
Запросы HTTP GET:
- http://ip##ho.net/plain
UDP:
- DNS ASK en####.joystarter.biz
- DNS ASK an####.joystarter.biz
- DNS ASK ad###.#oystarter.biz
- DNS ASK eb##.#oystarter.biz
- DNS ASK ip##ho.net
- DNS ASK gt######amu.joystarter.biz
- DNS ASK mn###.#oystarter.biz
- DNS ASK ib######omy.joystarter.biz
