Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\35843397\vcr.exe %TEMP%\35843397\mdp=fhj'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\35843397\nlu.xl
- %TEMP%\35843397\sua.txt
- %TEMP%\35843397\ikw.mp3
- %TEMP%\35843397\buu.docx
- %TEMP%\35843397\rjo.txt
- %TEMP%\35843397\aku.txt
- %TEMP%\35843397\vqi.mp4
- %TEMP%\35843397\dpf.ppt
- %TEMP%\35843397\die.mp3
- %TEMP%\35843397\kdi.txt
- %TEMP%\35843397\elm.mp4
- %TEMP%\35843397\sxh.mp4
- %TEMP%\35843397\ixl.mp3
- %TEMP%\35843397\ubu.xl
- %TEMP%\35843397\ofg.mp3
- %TEMP%\35843397\deu.mp3
- %TEMP%\35843397\aab.txt
- %TEMP%\35843397\lwc.mp4
- %TEMP%\35843397\nkv.txt
- %TEMP%\35843397\ssi.mp4
- %TEMP%\35843397\lum.xl
- %TEMP%\35843397\kgl.jpg
- %TEMP%\35843397\jgl.xl
- %TEMP%\35843397\aet.ico
- %TEMP%\35843397\tbs.ico
- %TEMP%\35843397\wia.xl
- %TEMP%\35843397\vhp.bmp
- %TEMP%\35843397\vxe.ppt
- %TEMP%\35843397\vcr.exe
- %TEMP%\35843397\wit.icm
- %TEMP%\35843397\jwd.pdf
- %TEMP%\35843397\hok.jpg
- %TEMP%\35843397\kxm.ico
- %TEMP%\35843397\wrv.icm
- %TEMP%\35843397\del.ico
- %TEMP%\35843397\mkk.xl
- %TEMP%\35843397\len.txt
- %TEMP%\35843397\txo.ico
- %TEMP%\35843397\frs.jpg
- %TEMP%\35843397\uxh.xl
- %TEMP%\35843397\ggw.ppt
- %TEMP%\35843397\huu.xl
- %TEMP%\35843397\dmg.pdf
- %TEMP%\35843397\nvg.ico
- %TEMP%\35843397\kgt.docx
- %TEMP%\35843397\ggw.docx
- %TEMP%\35843397\jti.mp4
- %TEMP%\35843397\ktd.dat
- %TEMP%\35843397\boa.txt
- %TEMP%\35843397\cnh.icm
- %TEMP%\35843397\wnm.xl
- %TEMP%\35843397\mdp=fhj
- %TEMP%\35843397\aut.xl
- %TEMP%\35843397\PDWCI
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\35843397\aab.txt
- %TEMP%\35843397\len.txt
- %TEMP%\35843397\lum.xl
- %TEMP%\35843397\lwc.mp4
- %TEMP%\35843397\mdp=fhj
- %TEMP%\35843397\mkk.xl
- %TEMP%\35843397\nkv.txt
- %TEMP%\35843397\nlu.xl
- %TEMP%\35843397\nvg.ico
- %TEMP%\35843397\ofg.mp3
- %TEMP%\35843397\rjo.txt
- %TEMP%\35843397\ssi.mp4
- %TEMP%\35843397\sua.txt
- %TEMP%\35843397\sxh.mp4
- %TEMP%\35843397\tbs.ico
- %TEMP%\35843397\txo.ico
- %TEMP%\35843397\ubu.xl
- %TEMP%\35843397\uxh.xl
- %TEMP%\35843397\vcr.exe
- %TEMP%\35843397\vhp.bmp
- %TEMP%\35843397\vqi.mp4
- %TEMP%\35843397\vxe.ppt
- %TEMP%\35843397\wia.xl
- %TEMP%\35843397\wit.icm
- %TEMP%\35843397\kxm.ico
- %TEMP%\35843397\wnm.xl
- %TEMP%\35843397\ktd.dat
- %TEMP%\35843397\kgl.jpg
- %TEMP%\35843397\aet.ico
- %TEMP%\35843397\aku.txt
- %TEMP%\35843397\aut.xl
- %TEMP%\35843397\boa.txt
- %TEMP%\35843397\buu.docx
- %TEMP%\35843397\cnh.icm
- %TEMP%\35843397\del.ico
- %TEMP%\35843397\deu.mp3
- %TEMP%\35843397\die.mp3
- %TEMP%\35843397\dmg.pdf
- %TEMP%\35843397\dpf.ppt
- %TEMP%\35843397\elm.mp4
- %TEMP%\35843397\frs.jpg
- %TEMP%\35843397\ggw.docx
- %TEMP%\35843397\ggw.ppt
- %TEMP%\35843397\hok.jpg
- %TEMP%\35843397\huu.xl
- %TEMP%\35843397\ikw.mp3
- %TEMP%\35843397\ixl.mp3
- %TEMP%\35843397\jgl.xl
- %TEMP%\35843397\jti.mp4
- %TEMP%\35843397\jwd.pdf
- %TEMP%\35843397\kdi.txt
- %TEMP%\35843397\kgt.docx
- %TEMP%\35843397\wrv.icm
Удаляет следующие файлы:
- %TEMP%\35843397\PDWCI
Сетевая активность:
Подключается к:
- 'fi####s1.ddns.net':4430
UDP:
- DNS ASK fi####s1.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\35843397\vcr.exe' mdp=fhj
- '%TEMP%\35843397\vcr.exe' %TEMP%\35843397\PDWCI
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
