Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LAN Service' = '%ProgramFiles%\LAN Service\lansv.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\86972907\xgb.exe %TEMP%\86972907\vmd-kem'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\86972907\nnk.ico
- %TEMP%\86972907\eei.mp4
- %TEMP%\86972907\jea.pdf
- %TEMP%\86972907\wdl.ico
- %TEMP%\86972907\brc.mp4
- %TEMP%\86972907\idw.mp4
- %TEMP%\86972907\lbo.pdf
- %TEMP%\86972907\wmq.icm
- %TEMP%\86972907\nxr.mp3
- %TEMP%\86972907\vka.icm
- %TEMP%\86972907\bsc.mp3
- %TEMP%\86972907\dip.mp4
- %TEMP%\86972907\nfe.docx
- %TEMP%\86972907\QMTJJ
- %TEMP%\86972907\qjs.dat
- %TEMP%\86972907\qpj.jpg
- %ProgramFiles%\LAN Service\lansv.exe
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\86972907\ini
- %TEMP%\86972907\wbn.dat
- %TEMP%\86972907\wna.mp3
- %TEMP%\86972907\tcf.pdf
- %TEMP%\86972907\mlx.docx
- %TEMP%\86972907\xxp.mp4
- %TEMP%\86972907\cit.bmp
- %TEMP%\86972907\ajs.docx
- %TEMP%\86972907\hhv.txt
- %TEMP%\86972907\qka.icm
- %TEMP%\86972907\iev.xl
- %TEMP%\86972907\xgm.mp4
- %TEMP%\86972907\rkh.ico
- %TEMP%\86972907\fqg.jpg
- %TEMP%\86972907\aha.icm
- %TEMP%\86972907\xgb.exe
- %TEMP%\86972907\vmd-kem
- %TEMP%\86972907\arm.docx
- %TEMP%\86972907\cvj.jpg
- %TEMP%\86972907\dea.ppt
- %TEMP%\86972907\rgp.mp4
- %TEMP%\86972907\uth.ppt
- %TEMP%\86972907\srw.xl
- %TEMP%\86972907\qin.mp4
- %TEMP%\86972907\fgc.txt
- %TEMP%\86972907\wlp.ico
- %TEMP%\86972907\qft.xl
- %TEMP%\86972907\umh.mp3
- %TEMP%\86972907\bio.icm
- %TEMP%\86972907\cmj.mp3
- %TEMP%\86972907\fqu.xl
- %TEMP%\86972907\ppi.ppt
- %TEMP%\86972907\mkn.pdf
- %TEMP%\86972907\veh.jpg
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\86972907\rkh.ico
- %TEMP%\86972907\rgp.mp4
- %TEMP%\86972907\qpj.jpg
- %TEMP%\86972907\umh.mp3
- %TEMP%\86972907\tcf.pdf
- %TEMP%\86972907\srw.xl
- %TEMP%\86972907\qft.xl
- %TEMP%\86972907\ppi.ppt
- %TEMP%\86972907\nxr.mp3
- %TEMP%\86972907\qka.icm
- %TEMP%\86972907\qjs.dat
- %TEMP%\86972907\qin.mp4
- %TEMP%\86972907\wna.mp3
- %TEMP%\86972907\wmq.icm
- %TEMP%\86972907\wlp.ico
- %TEMP%\86972907\xxp.mp4
- %TEMP%\86972907\xgm.mp4
- %TEMP%\86972907\xgb.exe
- %TEMP%\86972907\vka.icm
- %TEMP%\86972907\veh.jpg
- %TEMP%\86972907\uth.ppt
- %TEMP%\86972907\wdl.ico
- %TEMP%\86972907\wbn.dat
- %TEMP%\86972907\vmd-kem
- %TEMP%\86972907\cvj.jpg
- %TEMP%\86972907\cmj.mp3
- %TEMP%\86972907\cit.bmp
- %TEMP%\86972907\eei.mp4
- %TEMP%\86972907\dip.mp4
- %TEMP%\86972907\dea.ppt
- %TEMP%\86972907\arm.docx
- %TEMP%\86972907\ajs.docx
- %TEMP%\86972907\aha.icm
- %TEMP%\86972907\bsc.mp3
- %TEMP%\86972907\brc.mp4
- %TEMP%\86972907\bio.icm
- %TEMP%\86972907\mkn.pdf
- %TEMP%\86972907\lbo.pdf
- %TEMP%\86972907\jea.pdf
- %TEMP%\86972907\nnk.ico
- %TEMP%\86972907\nfe.docx
- %TEMP%\86972907\mlx.docx
- %TEMP%\86972907\fqu.xl
- %TEMP%\86972907\fqg.jpg
- %TEMP%\86972907\fgc.txt
- %TEMP%\86972907\iev.xl
- %TEMP%\86972907\idw.mp4
- %TEMP%\86972907\hhv.txt
Удаляет следующие файлы:
- %TEMP%\86972907\QMTJJ
Сетевая активность:
Подключается к:
- 'wi####d123.ddns.net':5794
UDP:
- DNS ASK wi####d123.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\86972907\xgb.exe' %TEMP%\86972907\QMTJJ
- '%TEMP%\86972907\xgb.exe' vmd-kem
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
