Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\58545078\muk.exe %TEMP%\58545078\pdx=ubi'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\58545078\rue.xl
- %TEMP%\58545078\jxp.ppt
- %TEMP%\58545078\lwq.pdf
- %TEMP%\58545078\llx.xl
- %TEMP%\58545078\dxg.docx
- %TEMP%\58545078\xgt.mp4
- %TEMP%\58545078\nqr.bmp
- %TEMP%\58545078\uuv.jpg
- %TEMP%\58545078\oin.dat
- %TEMP%\58545078\utp.mp3
- %TEMP%\58545078\nwr.icm
- %TEMP%\58545078\kbb.dat
- %TEMP%\58545078\ini
- %TEMP%\58545078\qfi.ico
- %TEMP%\58545078\vja.mp3
- %TEMP%\58545078\oco.txt
- %TEMP%\58545078\iqu.jpg
- %TEMP%\58545078\ncj.dat
- %TEMP%\58545078\tqk.mp3
- %TEMP%\58545078\lav.jpg
- %TEMP%\58545078\xqv.docx
- %TEMP%\58545078\jpt.pdf
- %TEMP%\58545078\OLPVM
- %TEMP%\58545078\nsn.txt
- %TEMP%\58545078\sjl.dat
- %TEMP%\58545078\niu.dat
- %TEMP%\58545078\oha.dat
- %TEMP%\58545078\pdx=ubi
- %TEMP%\58545078\muk.exe
- %TEMP%\58545078\fxq.mp3
- %TEMP%\58545078\dja.icm
- %TEMP%\58545078\lmt.pdf
- %TEMP%\58545078\npw.jpg
- %TEMP%\58545078\gjt.dat
- %TEMP%\58545078\svq.mp3
- %TEMP%\58545078\bct.mp3
- %TEMP%\58545078\jxi.ico
- %TEMP%\58545078\uxi.ppt
- %TEMP%\58545078\cpb.pdf
- %TEMP%\58545078\ccw.icm
- %TEMP%\58545078\emg.jpg
- %TEMP%\58545078\nav.bmp
- %TEMP%\58545078\rcv.dat
- %TEMP%\58545078\bwk.ppt
- %TEMP%\58545078\npg.xl
- %TEMP%\58545078\spa.mp3
- %TEMP%\58545078\lbk.mp4
- %TEMP%\58545078\blt.icm
- %TEMP%\58545078\lgc.icm
- %TEMP%\58545078\lpr.xl
- %APPDATA%\remcos\logs.dat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\58545078\bct.mp3
- %TEMP%\58545078\npw.jpg
- %TEMP%\58545078\nqr.bmp
- %TEMP%\58545078\nsn.txt
- %TEMP%\58545078\nwr.icm
- %TEMP%\58545078\oco.txt
- %TEMP%\58545078\oha.dat
- %TEMP%\58545078\oin.dat
- %TEMP%\58545078\pdx=ubi
- %TEMP%\58545078\niu.dat
- %TEMP%\58545078\npg.xl
- %TEMP%\58545078\qfi.ico
- %TEMP%\58545078\sjl.dat
- %TEMP%\58545078\spa.mp3
- %TEMP%\58545078\svq.mp3
- %TEMP%\58545078\tqk.mp3
- %TEMP%\58545078\utp.mp3
- %TEMP%\58545078\uuv.jpg
- %TEMP%\58545078\uxi.ppt
- %TEMP%\58545078\vja.mp3
- %TEMP%\58545078\rcv.dat
- %TEMP%\58545078\rue.xl
- %TEMP%\58545078\ncj.dat
- %TEMP%\58545078\nav.bmp
- %TEMP%\58545078\muk.exe
- %TEMP%\58545078\bwk.ppt
- %TEMP%\58545078\ccw.icm
- %TEMP%\58545078\cpb.pdf
- %TEMP%\58545078\dja.icm
- %TEMP%\58545078\dxg.docx
- %TEMP%\58545078\emg.jpg
- %TEMP%\58545078\fxq.mp3
- %TEMP%\58545078\gjt.dat
- %TEMP%\58545078\iqu.jpg
- %TEMP%\58545078\blt.icm
- %TEMP%\58545078\jpt.pdf
- %TEMP%\58545078\jxp.ppt
- %TEMP%\58545078\kbb.dat
- %TEMP%\58545078\lav.jpg
- %TEMP%\58545078\lbk.mp4
- %TEMP%\58545078\lgc.icm
- %TEMP%\58545078\llx.xl
- %TEMP%\58545078\lmt.pdf
- %TEMP%\58545078\lpr.xl
- %TEMP%\58545078\lwq.pdf
- %TEMP%\58545078\jxi.ico
- %TEMP%\58545078\xgt.mp4
- %TEMP%\58545078\xqv.docx
Удаляет следующие файлы:
- %TEMP%\58545078\OLPVM
Сетевая активность:
Подключается к:
- 'ic###.hopto.org':1988
UDP:
- DNS ASK ic###.hopto.org
Другое:
Ищет следующие окна:
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\58545078\muk.exe' pdx=ubi
- '%TEMP%\58545078\muk.exe' %TEMP%\58545078\OLPVM
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe'
