Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\79836267\xmg.exe %TEMP%\79836267\jhd=wuh'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\79836267\mbs.docx
- %TEMP%\79836267\ufw.dat
- %TEMP%\79836267\rch.dat
- %TEMP%\79836267\xhx.txt
- %TEMP%\79836267\ugx.mp3
- %TEMP%\79836267\rml.mp3
- %TEMP%\79836267\imk.icm
- %TEMP%\79836267\kbe.docx
- %TEMP%\79836267\bjr.dat
- %TEMP%\79836267\lwc.mp3
- %TEMP%\79836267\wdf.ppt
- %TEMP%\79836267\cxk.bmp
- %TEMP%\79836267\xwh.txt
- %TEMP%\79836267\ppb.bmp
- %TEMP%\79836267\kjx.bmp
- %TEMP%\79836267\pbq.txt
- %APPDATA%\remcos\logs.dat
- %TEMP%\79836267\ini
- %TEMP%\79836267\RTWBJ
- %TEMP%\79836267\cxh.dat
- %TEMP%\79836267\spt.icm
- %TEMP%\79836267\rfr.xl
- %TEMP%\79836267\hoq.mp3
- %TEMP%\79836267\fse.txt
- %TEMP%\79836267\dge.bmp
- %TEMP%\79836267\smf.pdf
- %TEMP%\79836267\glu.bmp
- %TEMP%\79836267\new.dat
- %TEMP%\79836267\ukd.txt
- %TEMP%\79836267\vrr.bmp
- %TEMP%\79836267\gsx.icm
- %TEMP%\79836267\eqn.ppt
- %TEMP%\79836267\ftb.jpg
- %TEMP%\79836267\rrl.dat
- %TEMP%\79836267\xmg.exe
- %TEMP%\79836267\jhd=wuh
- %TEMP%\79836267\aip.mp3
- %TEMP%\79836267\vhv.mp4
- %TEMP%\79836267\lhe.mp4
- %TEMP%\79836267\vgx.dat
- %TEMP%\79836267\wfd.mp3
- %TEMP%\79836267\wng.docx
- %TEMP%\79836267\hgt.xl
- %TEMP%\79836267\mid.docx
- %TEMP%\79836267\rnc.bmp
- %TEMP%\79836267\saq.dat
- %TEMP%\79836267\qgq.bmp
- %TEMP%\79836267\nfj.ico
- %TEMP%\79836267\bjb.bmp
- %TEMP%\79836267\gtt.pdf
- %TEMP%\79836267\iqq.icm
- %TEMP%\79836267\qsf.mp4
- %TEMP%\79836267\qot.dat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\79836267\rnc.bmp
- %TEMP%\79836267\rml.mp3
- %TEMP%\79836267\rfr.xl
- %TEMP%\79836267\smf.pdf
- %TEMP%\79836267\saq.dat
- %TEMP%\79836267\rrl.dat
- %TEMP%\79836267\qgq.bmp
- %TEMP%\79836267\ppb.bmp
- %TEMP%\79836267\pbq.txt
- %TEMP%\79836267\rch.dat
- %TEMP%\79836267\qsf.mp4
- %TEMP%\79836267\qot.dat
- %TEMP%\79836267\spt.icm
- %TEMP%\79836267\wng.docx
- %TEMP%\79836267\wfd.mp3
- %TEMP%\79836267\wdf.ppt
- %TEMP%\79836267\xwh.txt
- %TEMP%\79836267\xmg.exe
- %TEMP%\79836267\xhx.txt
- %TEMP%\79836267\ukd.txt
- %TEMP%\79836267\ugx.mp3
- %TEMP%\79836267\ufw.dat
- %TEMP%\79836267\vrr.bmp
- %TEMP%\79836267\vhv.mp4
- %TEMP%\79836267\vgx.dat
- %TEMP%\79836267\ftb.jpg
- %TEMP%\79836267\fse.txt
- %TEMP%\79836267\eqn.ppt
- %TEMP%\79836267\gtt.pdf
- %TEMP%\79836267\gsx.icm
- %TEMP%\79836267\glu.bmp
- %TEMP%\79836267\bjr.dat
- %TEMP%\79836267\bjb.bmp
- %TEMP%\79836267\aip.mp3
- %TEMP%\79836267\dge.bmp
- %TEMP%\79836267\cxk.bmp
- %TEMP%\79836267\cxh.dat
- %TEMP%\79836267\hgt.xl
- %TEMP%\79836267\mbs.docx
- %TEMP%\79836267\lwc.mp3
- %TEMP%\79836267\lhe.mp4
- %TEMP%\79836267\nfj.ico
- %TEMP%\79836267\new.dat
- %TEMP%\79836267\mid.docx
- %TEMP%\79836267\iqq.icm
- %TEMP%\79836267\imk.icm
- %TEMP%\79836267\hoq.mp3
- %TEMP%\79836267\kjx.bmp
- %TEMP%\79836267\kbe.docx
- %TEMP%\79836267\jhd=wuh
Удаляет следующие файлы:
- %TEMP%\79836267\RTWBJ
Сетевая активность:
Подключается к:
- 'me####h.hopto.org':2120
UDP:
- DNS ASK me####h.hopto.org
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\79836267\xmg.exe' %TEMP%\79836267\RTWBJ
- '%TEMP%\79836267\xmg.exe' jhd=wuh
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
