Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Services' = '%APPDATA%\Windows Services\svchost.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\link.exe
- <Имя диска съемного носителя>:\documents.lnk
- <Имя диска съемного носителя>:\pdf.lnk
- <Имя диска съемного носителя>:\movies.lnk
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\<Имя файла>.exe_thread.tmp
- %TEMP%\autE.tmp
- %TEMP%\libxml2.dll
- %TEMP%\autF.tmp
- %TEMP%\posh-0.dll
- %TEMP%\aut10.tmp
- %TEMP%\ssleay32.dll
- %TEMP%\aut11.tmp
- %TEMP%\tibe-2.dll
- %TEMP%\aut12.tmp
- %TEMP%\aut6.tmp
- %TEMP%\trch-1.dll
- %TEMP%\trfo-2.dll
- %TEMP%\aut14.tmp
- %TEMP%\tucl-1.dll
- %TEMP%\aut15.tmp
- %TEMP%\ucl.dll
- %TEMP%\aut16.tmp
- %TEMP%\xdvl-0.dll
- %TEMP%\aut17.tmp
- %TEMP%\zlib1.dll
- %TEMP%\autD.tmp
- %TEMP%\libeay32.dll
- %TEMP%\exma-1.dll
- %TEMP%\autC.tmp
- %TEMP%\Eternalblue-2.2.0.xml
- %TEMP%\aut1.tmp
- %TEMP%\cnli-1.dll
- %TEMP%\aut2.tmp
- %TEMP%\coli-0.dll
- %TEMP%\aut3.tmp
- %TEMP%\crli-0.dll
- %TEMP%\aut4.tmp
- %TEMP%\etch-0.dll
- %TEMP%\aut5.tmp
- %TEMP%\aut18.tmp
- %TEMP%\aut13.tmp
- %TEMP%\etchCore-0.x64.dll
- %TEMP%\aut7.tmp
- %TEMP%\eteb-2.dll
- %TEMP%\aut8.tmp
- %TEMP%\etebCore-2.x64.dll
- %TEMP%\aut9.tmp
- %TEMP%\etebCore-2.x86.dll
- %TEMP%\autA.tmp
- %TEMP%\Eternalblue-2.2.0.exe
- %TEMP%\autB.tmp
- %APPDATA%\Windows Services\svchost.exe
- %TEMP%\etchCore-0.x86.dll
- %TEMP%\launcher.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Windows Services\svchost.exe
- <Имя диска съемного носителя>:\link.exe
Удаляет следующие файлы:
- %TEMP%\aut1.tmp
- %TEMP%\aut17.tmp
- %TEMP%\aut16.tmp
- %TEMP%\aut15.tmp
- %TEMP%\aut14.tmp
- %TEMP%\aut13.tmp
- %TEMP%\aut12.tmp
- %TEMP%\aut11.tmp
- %TEMP%\aut10.tmp
- %TEMP%\autF.tmp
- %TEMP%\autE.tmp
- %TEMP%\aut18.tmp
- %TEMP%\autD.tmp
- %TEMP%\autB.tmp
- %TEMP%\autA.tmp
- %TEMP%\aut9.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\autC.tmp
- %TEMP%\<Имя файла>.exe_thread.tmp
Сетевая активность:
Подключается к:
- 'ir#.dal.net':6667
UDP:
- DNS ASK ir#.dal.net
Другое:
Создает и запускает на исполнение:
- '<Полный путь к файлу>' --thread "Scan"
- '<Полный путь к файлу>' --thread "SendMail"
