Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\34212868\skm.exe %TEMP%\34212868\bbw=iqa'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LAN Service' = '%ProgramFiles%\LAN Service\lansv.exe'
Вредоносные функции:
Внедряет код в
следующие пользовательские процессы:
- RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\34212868\xub.mp4
- %TEMP%\34212868\umb.mp4
- %TEMP%\34212868\lbs.bmp
- %TEMP%\34212868\oag.xl
- %TEMP%\34212868\tsx.jpg
- %TEMP%\34212868\flx.docx
- %TEMP%\34212868\fkp.ppt
- %TEMP%\34212868\igg.txt
- %TEMP%\34212868\rqr.bmp
- %TEMP%\34212868\dfq.jpg
- %TEMP%\34212868\egt.txt
- %TEMP%\34212868\ocb.xl
- %TEMP%\34212868\fks.jpg
- %TEMP%\34212868\hua.jpg
- %TEMP%\34212868\hus.txt
- %TEMP%\34212868\wcc.mp4
- %TEMP%\34212868\spd.mp3
- %TEMP%\34212868\rif.txt
- %TEMP%\34212868\ueu.pdf
- %TEMP%\34212868\ojd.icm
- %TEMP%\34212868\ttk.xl
- %TEMP%\34212868\bou.icm
- %TEMP%\34212868\AZSZF
- %TEMP%\RegSvcs.exe
- %TEMP%\34212868\xwp.pdf
- %APPDATA%\23EF5514-3059-436F-A4A7-4CEFAAB20EB1\run.dat
- %TEMP%\34212868\cfd.bmp
- %TEMP%\34212868\acd.jpg
- %TEMP%\34212868\bbw=iqa
- %TEMP%\34212868\skm.exe
- %TEMP%\34212868\bfj.mp3
- %TEMP%\34212868\nud.icm
- %TEMP%\34212868\chg.pdf
- %TEMP%\34212868\oiq.mp4
- %TEMP%\34212868\tsn.txt
- %TEMP%\34212868\ifl.dat
- %TEMP%\34212868\jfl.mp3
- %TEMP%\34212868\nnv.ppt
- %TEMP%\34212868\lpd.mp4
- %TEMP%\34212868\ngm.xl
- %TEMP%\34212868\lqv.icm
- %TEMP%\34212868\oaa.xl
- %TEMP%\34212868\dmv.pdf
- %TEMP%\34212868\jpt.xl
- %TEMP%\34212868\qet.ppt
- %TEMP%\34212868\mvh.docx
- %TEMP%\34212868\csv.ico
- %TEMP%\34212868\snt.bmp
- %TEMP%\34212868\ntl.ppt
- %TEMP%\34212868\txb.mp4
- %TEMP%\34212868\egd.jpg
- %TEMP%\34212868\emg.xl
- %ProgramFiles%\LAN Service\lansv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\34212868\acd.jpg
- %TEMP%\34212868\nnv.ppt
- %TEMP%\34212868\ntl.ppt
- %TEMP%\34212868\nud.icm
- %TEMP%\34212868\oaa.xl
- %TEMP%\34212868\oag.xl
- %TEMP%\34212868\ocb.xl
- %TEMP%\34212868\oiq.mp4
- %TEMP%\34212868\ojd.icm
- %TEMP%\34212868\qet.ppt
- %TEMP%\34212868\rif.txt
- %TEMP%\34212868\rqr.bmp
- %TEMP%\34212868\skm.exe
- %TEMP%\34212868\snt.bmp
- %TEMP%\34212868\spd.mp3
- %TEMP%\34212868\tsn.txt
- %TEMP%\34212868\tsx.jpg
- %TEMP%\34212868\ttk.xl
- %TEMP%\34212868\txb.mp4
- %TEMP%\34212868\ueu.pdf
- %TEMP%\34212868\umb.mp4
- %TEMP%\34212868\wcc.mp4
- %TEMP%\34212868\ngm.xl
- %TEMP%\34212868\xub.mp4
- %TEMP%\34212868\mvh.docx
- %TEMP%\34212868\lpd.mp4
- %TEMP%\34212868\bbw=iqa
- %TEMP%\34212868\bfj.mp3
- %TEMP%\34212868\bou.icm
- %TEMP%\34212868\cfd.bmp
- %TEMP%\34212868\chg.pdf
- %TEMP%\34212868\csv.ico
- %TEMP%\34212868\dfq.jpg
- %TEMP%\34212868\dmv.pdf
- %TEMP%\34212868\egd.jpg
- %TEMP%\34212868\egt.txt
- %TEMP%\34212868\emg.xl
- %TEMP%\34212868\fkp.ppt
- %TEMP%\34212868\fks.jpg
- %TEMP%\34212868\flx.docx
- %TEMP%\34212868\hua.jpg
- %TEMP%\34212868\hus.txt
- %TEMP%\34212868\ifl.dat
- %TEMP%\34212868\igg.txt
- %TEMP%\34212868\jfl.mp3
- %TEMP%\34212868\jpt.xl
- %TEMP%\34212868\lbs.bmp
- %TEMP%\34212868\lqv.icm
- %TEMP%\34212868\xwp.pdf
Удаляет следующие файлы:
- %TEMP%\34212868\AZSZF
Сетевая активность:
Подключается к:
- 'wi####d123.ddns.net':5794
UDP:
- DNS ASK wi####d123.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\34212868\skm.exe' bbw=iqa
- '%TEMP%\34212868\skm.exe' %TEMP%\34212868\AZSZF
- '%TEMP%\RegSvcs.exe'
