Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup1' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP001.TMP\"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'Regmonclass', WindowName: ''
- ClassName: 'Filemonclass', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\V2012.exe
- %WINDIR%\V2013.exe
- <SYSTEM32>\201231823926
- %TEMP%\IXP000.TMP\411_2_~2.EXE
- %TEMP%\IXP000.TMP\411[2_npse.EXE
- %TEMP%\IXP001.TMP\411.exe
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\411[2_npse.EXE
- %TEMP%\IXP000.TMP\411_2_~2.EXE
Сетевая активность:
Подключается к:
- '<LOCALNET>.1.144':80
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Windows ??????????'
- ClassName: '' WindowName: 'Windows ИООс№ЬАнЖч'
- ClassName: '' WindowName: 'Windows Task Manager'
- ClassName: 'EDIT' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: '4823-00000029' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\IXP001.TMP\411.exe'
- '%TEMP%\IXP000.TMP\411[2_npse.EXE'
- '%TEMP%\IXP000.TMP\411_2_~2.EXE'
Запускает на исполнение:
- '<SYSTEM32>\taskmgr.exe'
