Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Uzaktan-Yardim.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
- Cредство проверки системных файлов (SFC)
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
Внедряет код в
следующие пользовательские процессы:
Завершает или пытается завершить
следующие пользовательские процессы:
- MCAGENT.EXE
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegMonClass', WindowName: ''
- ClassName: 'FileMonClass', WindowName: ''
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Associations] 'LowRiskFileTypes' = '.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_ir_sf_temp_1\iconremote.ico
- %TEMP%\_ir_sf_temp_1\uzakyardim.zip
- %TEMP%\_ir_sf_temp_1\IRIMG5.JPG
- %TEMP%\_ir_sf_temp_1\IRIMG3.JPG
- %TEMP%\_ir_sf_temp_1\IRIMG4.JPG
- %TEMP%\_ir_sf_temp_1\FTP.lmd
- %TEMP%\_ir_sf_temp_1\IRZip.lmd
- %TEMP%\_ir_sf_temp_1\unfix
- %TEMP%\_ir_sf_temp_1\intro.zip
- %TEMP%\_ir_sf_temp_1\undefender
- %TEMP%\_ir_sf_temp_1\IRIMG2.JPG
- %HOMEPATH%\Desktop\Uzaktan-Yardim.exe
- %TEMP%\Uzaktan-Yardim-h.exe
- %ProgramFiles%\Note+++\stylers.xml
- %ProgramFiles%\Note+++\SciLexer.dll
- %ProgramFiles%\Note+++\shortcuts.xml
- %TEMP%\_ir_sf_temp_1\irsetup.dat
- %TEMP%\_ir_sf_temp_1\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_1\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\startmenu
- %TEMP%\_ir_sf_temp_1\irsetup.exe
- C:\ProgramData\AMMYY\hr
- %TEMP%\uzk
- %ALLUSERSPROFILE%\Application Data\AMMYY\hr
- %ALLUSERSPROFILE%\Application Data\AMMYY\hr3
- C:\ProgramData\AMMYY\hr3
- %TEMP%\_ir_sf_temp_1\dsk
- %TEMP%\uzakyardim.log
- %TEMP%\tsk
- %TEMP%\uzakyardim
- %TEMP%\idnumber.log
- C:\ProgramData\AMMYY\settings3.bin
- %TEMP%\6.tmp\7.bat
- %TEMP%\_ir_sf_temp_1\Note+++.zip
- %TEMP%\5EB4A51E.TMP
- %TEMP%\_ir_sf_temp_1\guvenlik
- %TEMP%\_ir_sf_temp_1\play.exe
- %HOMEPATH%\Desktop\settings.rdp
- %ALLUSERSPROFILE%\Application Data\AMMYY\settings3.bin
- C:\ProgramData\AMMYY\settings.rdp
- %TEMP%\_ir_sf_temp_1\startmenu
- %ALLUSERSPROFILE%\Application Data\AMMYY\settings.rdp
- %ProgramFiles%\Note+++\readme.txt
- %TEMP%\_ir_sf_temp_0\IRZip.lmd
- %TEMP%\guven
- %TEMP%\_ir_sf_temp_0\FTP.lmd
- %TEMP%\_ir_sf_temp_0\undefender
- %TEMP%\_ir_sf_temp_0\unfix
- %TEMP%\usbint2.exe
- %TEMP%\usbpool.exe
- %TEMP%\usbint.EXE
- %TEMP%\gvnlik
- %TEMP%\_ir_sf_temp_0\guvenlik
- %TEMP%\_ir_sf_temp_0\intro.zip
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\iconremote.ico
- %TEMP%\_ir_sf_temp_0\uzakyardim.zip
- %TEMP%\_ir_sf_temp_0\IRIMG5.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG3.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG4.JPG
- %ProgramFiles%\Note+++\plugins\APIs\java.api
- %ProgramFiles%\Note+++\plugins\APIs\javascript.api
- %ProgramFiles%\Note+++\plugins\APIs\flash.api
- %ProgramFiles%\Note+++\plugins\APIs\c.api
- %ProgramFiles%\Note+++\plugins\APIs\css.api
- %ProgramFiles%\Note+++\plugins\APIs\vb.api
- %ProgramFiles%\Note+++\plugins\APIs\xml.api
- %ProgramFiles%\Note+++\plugins\APIs\python.api
- %ProgramFiles%\Note+++\plugins\APIs\perl.api
- %ProgramFiles%\Note+++\plugins\APIs\php.api
- %ProgramFiles%\Note+++\MESAJ.exe
- %TEMP%\_ir_sf_temp_0\Note+++.zip
- %ProgramFiles%\Note+++\change.log
- %TEMP%\guvenlik.bat
- %TEMP%\_ir_sf_temp_0\play.exe
- %TEMP%\1.tmp\2.bat
- %ProgramFiles%\Note+++\license.txt
- %ProgramFiles%\Note+++\LINEDRAW.TTF
- %ProgramFiles%\Note+++\langs.xml
- %ProgramFiles%\Note+++\config.xml
- %ProgramFiles%\Note+++\contextMenu.xml
Удаляет следующие файлы:
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Uzaktan-Yardim.exe
- %TEMP%\Uzaktan-Yardim-h.exe
- %TEMP%\_ir_sf_temp_1\irsetup.dat
- %TEMP%\guven.exe
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\guvenlik.bat
- %TEMP%\guvenlik.exe
Перемещает следующие файлы:
- %TEMP%\uzakyardim в %TEMP%\uzakyardim.exe
- %TEMP%\uzk в %TEMP%\uzk.exe
- %TEMP%\_ir_sf_temp_1\dsk в %TEMP%\_ir_sf_temp_1\dsk.exe
- %TEMP%\tsk в %TEMP%\tsk.exe
- %HOMEPATH%\Desktop\settings.rdp в %HOMEPATH%\Desktop\Terminal-Remote Desktop.rdp
- %TEMP%\guven в %TEMP%\guven.exe
- %TEMP%\gvnlik в %TEMP%\guvenlik.exe
- %TEMP%\_ir_sf_temp_1\startmenu в %TEMP%\_ir_sf_temp_1\startmenu.exe
- %TEMP%\_ir_sf_temp_0\startmenu в %TEMP%\_ir_sf_temp_0\startmenu.exe
Подменяет следующие файлы:
- %TEMP%\guvenlik.bat
- %TEMP%\Uzaktan-Yardim-h.exe
- %TEMP%\guven.exe
- %TEMP%\guven
- %TEMP%\gvnlik
Сетевая активность:
Подключается к:
- 'rl.##myy.com':80
- 'ya##ex.com':80
- '74.##5.232.51':80
TCP:
Запросы HTTP GET:
- http://www.ya##ex.com/ via ya##ex.com
- http://www.google.com/ via 74.##5.232.51
Запросы HTTP POST:
- http://rl.##myy.com/
UDP:
- DNS ASK rl.##myy.com
- DNS ASK www.ya##ex.com
- DNS ASK www.google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Show Desktop by MurGee.com'
Создает и запускает на исполнение:
- '%TEMP%\uzakyardim.exe'
- '%TEMP%\uzk.exe' "/ -nogui - "
- '%TEMP%\_ir_sf_temp_1\dsk.exe'
- '%TEMP%\uzk.exe' "/ -outid - "
- '%TEMP%\_ir_sf_temp_1\irsetup.exe' __IRAOFF:1779458 "__IRAFN:%HOMEPATH%\Desktop\uzaktan-yardim.exe" "__IRCT:3" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
- '%TEMP%\guven.exe'
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1779458 "__IRAFN:<Полный путь к файлу>" "__IRCT:3" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
- '%HOMEPATH%\Desktop\Uzaktan-Yardim.exe'
- '%TEMP%\guvenlik.exe'
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' config srservice start= disabled
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\6.tmp\7.bat" %TEMP%\guvenlik.exe"
- '<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Attachments /v HideZoneInfoOnProperties /t REG_DWORD /d 1 /f
- '<SYSTEM32>\sc.exe' delete wuauserv
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\2.bat" %TEMP%\guvenlik.exe"
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
