Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\40625192\hbh.exe %TEMP%\40625192\hbn=fpb'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\40625192\dei.jpg
- %TEMP%\40625192\faa.mp4
- %TEMP%\40625192\mnt.jpg
- %TEMP%\40625192\njt.mp3
- %TEMP%\40625192\fjx.dat
- %TEMP%\40625192\qgn.ico
- %TEMP%\40625192\iac.bmp
- %TEMP%\40625192\bur.mp4
- %TEMP%\40625192\dvf.mp4
- %TEMP%\40625192\uej.mp4
- %TEMP%\40625192\cxu.jpg
- %TEMP%\40625192\lud.pdf
- %TEMP%\40625192\eho.jpg
- %TEMP%\40625192\akg.docx
- %TEMP%\40625192\hwe.xl
- %TEMP%\40625192\fhm.mp4
- %TEMP%\40625192\wmd.xl
- %TEMP%\40625192\uxe.mp4
- %APPDATA%\remcos\logs.dat
- %TEMP%\40625192\spd
- %TEMP%\40625192\RBBVF
- %TEMP%\40625192\rjc.pdf
- %TEMP%\40625192\cdk.jpg
- %TEMP%\40625192\mxt.txt
- %TEMP%\40625192\dcf.pdf
- %TEMP%\40625192\xwb.xl
- %TEMP%\40625192\pew.mp4
- %TEMP%\40625192\khn.docx
- %TEMP%\40625192\xlp.mp3
- %TEMP%\40625192\wdj.ppt
- %TEMP%\40625192\nuj.jpg
- %TEMP%\40625192\eke.ico
- %TEMP%\40625192\dpr.ico
- %TEMP%\40625192\rkx.pdf
- %TEMP%\40625192\lrg.ppt
- %TEMP%\40625192\hbh.exe
- %TEMP%\40625192\hbn=fpb
- %TEMP%\40625192\wpw.txt
- %TEMP%\40625192\guu.ppt
- %TEMP%\40625192\lce.mp3
- %TEMP%\40625192\err.ico
- %TEMP%\40625192\xbu.ppt
- %TEMP%\40625192\fho.mp3
- %TEMP%\40625192\bnt.mp4
- %TEMP%\40625192\wuo.docx
- %TEMP%\40625192\jgq.bmp
- %TEMP%\40625192\mqf.dat
- %TEMP%\40625192\txk.xl
- %TEMP%\40625192\vpb.mp4
- %TEMP%\40625192\bfi.jpg
- %TEMP%\40625192\tul.icm
- %TEMP%\40625192\nag.mp4
- %TEMP%\40625192\ruh.txt
- %TEMP%\40625192\qkh.ppt
- %TEMP%\40625192\iba.xl
- %TEMP%\40625192\nsb.docx
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\40625192\qgn.ico
- %TEMP%\40625192\pew.mp4
- %TEMP%\40625192\nuj.jpg
- %TEMP%\40625192\rkx.pdf
- %TEMP%\40625192\rjc.pdf
- %TEMP%\40625192\qkh.ppt
- %TEMP%\40625192\nsb.docx
- %TEMP%\40625192\mqf.dat
- %TEMP%\40625192\mnt.jpg
- %TEMP%\40625192\lud.pdf
- %TEMP%\40625192\njt.mp3
- %TEMP%\40625192\nag.mp4
- %TEMP%\40625192\mxt.txt
- %TEMP%\40625192\wuo.docx
- %TEMP%\40625192\wpw.txt
- %TEMP%\40625192\wmd.xl
- %TEMP%\40625192\xwb.xl
- %TEMP%\40625192\xlp.mp3
- %TEMP%\40625192\xbu.ppt
- %TEMP%\40625192\wdj.ppt
- %TEMP%\40625192\txk.xl
- %TEMP%\40625192\tul.icm
- %TEMP%\40625192\ruh.txt
- %TEMP%\40625192\vpb.mp4
- %TEMP%\40625192\uxe.mp4
- %TEMP%\40625192\uej.mp4
- %TEMP%\40625192\lrg.ppt
- %TEMP%\40625192\dvf.mp4
- %TEMP%\40625192\dpr.ico
- %TEMP%\40625192\dei.jpg
- %TEMP%\40625192\err.ico
- %TEMP%\40625192\eke.ico
- %TEMP%\40625192\eho.jpg
- %TEMP%\40625192\dcf.pdf
- %TEMP%\40625192\bnt.mp4
- %TEMP%\40625192\bfi.jpg
- %TEMP%\40625192\akg.docx
- %TEMP%\40625192\cxu.jpg
- %TEMP%\40625192\cdk.jpg
- %TEMP%\40625192\bur.mp4
- %TEMP%\40625192\iba.xl
- %TEMP%\40625192\iac.bmp
- %TEMP%\40625192\hwe.xl
- %TEMP%\40625192\lce.mp3
- %TEMP%\40625192\khn.docx
- %TEMP%\40625192\jgq.bmp
- %TEMP%\40625192\hbn=fpb
- %TEMP%\40625192\fho.mp3
- %TEMP%\40625192\fhm.mp4
- %TEMP%\40625192\faa.mp4
- %TEMP%\40625192\hbh.exe
- %TEMP%\40625192\guu.ppt
- %TEMP%\40625192\fjx.dat
Удаляет следующие файлы:
- %TEMP%\40625192\RBBVF
Сетевая активность:
Подключается к:
- 'da####c.ddns.net':1805
UDP:
- DNS ASK da####c.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\40625192\hbh.exe' %TEMP%\40625192\RBBVF
- '%TEMP%\40625192\hbh.exe' hbn=fpb
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
