Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{A87D4C39-4A93-082F-0BFF-298F34A11CE5}' = '%APPDATA%\Weky\upovv.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\14503386.ewgiwgukViaRu.exe
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\a48f5e4c854778bae523cb4225f79856_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\gate[1].htm
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\fab4cd18ffe57b60cc8bd2287903c791_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\9cf34d66f8ed96c449d3bcce6ee0ee2d_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Desktop\KEY
- %APPDATA%\Weky\upovv.exe
- %TEMP%\tmp_5e10990f.bat
- %TEMP%\bmpae35204b.bmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\d65e3ee954d5184c4d5e56b9e055a834_23ef5514-3059-436f-a4a7-4cefaab20eb1
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Weky\upovv.exe
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\a48f5e4c854778bae523cb4225f79856_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\9cf34d66f8ed96c449d3bcce6ee0ee2d_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\MachineKeys\fab4cd18ffe57b60cc8bd2287903c791_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\14503386.ewgiwgukViaRu.exe
Сетевая активность:
Подключается к:
- 'i5######y5gzakmd.onion.link':80
- 'i5######y5gzakmd.onion.to':443
- 'i5######y5gzakmd.onion.sx':80
- 'i5######y5gzakmd.onion.top':443
- 'i5######y5gzakmd.onion.rip':443
- 'i5######y5gzakmd.onion.pw':80
TCP:
Запросы HTTP POST:
- http://i5######y5gzakmd.onion.link/gate
- http://i5######y5gzakmd.onion.sx/gate
- http://i5######y5gzakmd.onion.pw/gate
UDP:
- DNS ASK i5######y5gzakmd.onion.link
- DNS ASK i5######y5gzakmd.onion.to
- DNS ASK i5######y5gzakmd.onion.sx
- DNS ASK i5######y5gzakmd.onion.top
- DNS ASK i5######y5gzakmd.onion.rip
- DNS ASK i5######y5gzakmd.onion.pw
Другое:
Создает и запускает на исполнение:
- '%TEMP%\14503386.ewgiwgukViaRu.exe'
- '%APPDATA%\Weky\upovv.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' /logtoconsole=false /logfile= /u "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\tmp_5e10990f.bat"
