Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'bthudtask' = '"%APPDATA%\Microsoft\Windows\dllcache\bthudtask.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'bthudtask' = '"%APPDATA%\Microsoft\Windows\dllcache\bthudtask.exe"'
- [<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Microsoft\Windows\dllcache\bthudtask.exe"'
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Microsoft\Windows\dllcache\bthudtask.exe"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\bthudtask.lnk
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\EFS] 'Start' = '00000002'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
- <SYSTEM32>\dwm.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\taskhost.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\dllcache\bthudtask.exe
- %APPDATA%\microsoft\windows\dllcache\gameux.dll
- %APPDATA%\microsoft\windows\dllcache\perfmon.exe
- %APPDATA%\microsoft\windows\dllcache\kbdtajik.dll
- %APPDATA%\microsoft\windows\dllcache\kbdblr.dll
- %APPDATA%\microsoft\windows\dllcache\wavemsp.dll
- %APPDATA%\microsoft\windows\dllcache\spinf.dll
- %APPDATA%\microsoft\windows\dllcache\l2gpstore.dll
- %APPDATA%\microsoft\windows\dllcache\cabinet.dll
- %APPDATA%\microsoft\windows\dllcache\helppaneproxy.dll
- %APPDATA%\microsoft\windows\dllcache\iasacct.dll
- %APPDATA%\microsoft\windows\dllcache\napclcfg.msc
- %APPDATA%\microsoft\windows\dllcache\powrprof.dll
- %APPDATA%\microsoft\windows\dllcache\ndproxystub.dll
- %APPDATA%\microsoft\windows\dllcache\kbdtuq.dll
- %APPDATA%\microsoft\windows\dllcache\winfax.dll
- %APPDATA%\microsoft\windows\dllcache\sc.exe
- %APPDATA%\microsoft\windows\dllcache\actioncenter.dll
- %APPDATA%\microsoft\windows\dllcache\w32tm.exe
- %APPDATA%\microsoft\windows\dllcache\l3codeca.acm
- %APPDATA%\microsoft\windows\dllcache\ndfhcdiscovery.dll
- %APPDATA%\microsoft\windows\dllcache\aaclient.dll
- %APPDATA%\microsoft\windows\dllcache\pcaui.dll
- %APPDATA%\microsoft\windows\dllcache\quick.ime
- %APPDATA%\microsoft\windows\dllcache\rasctrnm.h
- %APPDATA%\microsoft\windows\dllcache\kbdinguj.dll
- %APPDATA%\microsoft\windows\dllcache\adsldp.dll
- %APPDATA%\microsoft\windows\dllcache\vidcap.ax
- %APPDATA%\microsoft\windows\dllcache\activeds.tlb
- %APPDATA%\microsoft\windows\dllcache\peerdist.dll
- %APPDATA%\microsoft\windows\dllcache\bdaplgin.ax
- %APPDATA%\microsoft\windows\dllcache\tpm.msc
- %APPDATA%\microsoft\windows\dllcache\ureg.dll
- %APPDATA%\microsoft\windows\dllcache\findstr.exe
- %APPDATA%\microsoft\windows\dllcache\iasnap.dll
- %APPDATA%\microsoft\windows\dllcache\timedatemuicallback.dll
- %APPDATA%\microsoft\windows\dllcache\adtschema.dll
- %APPDATA%\microsoft\windows\dllcache\radardt.dll
- %APPDATA%\microsoft\windows\dllcache\xmlfilter.dll
- %APPDATA%\microsoft\windows\dllcache\netid.dll
- %APPDATA%\microsoft\windows\dllcache\tapiui.dll
- %APPDATA%\microsoft\windows\dllcache\scksp.dll
- %APPDATA%\microsoft\windows\dllcache\kbd101c.dll
- %APPDATA%\microsoft\windows\dllcache\scrrun.dll
- %APPDATA%\microsoft\windows\dllcache\iasmigplugin.dll
- %APPDATA%\microsoft\windows\dllcache\xcopy.exe
- %APPDATA%\microsoft\windows\dllcache\takeown.exe
- %APPDATA%\microsoft\windows\dllcache\bitsadmin.exe
- %APPDATA%\microsoft\windows\dllcache\kbdintam.dll
- %APPDATA%\microsoft\windows\dllcache\netcfgx.dll
- %APPDATA%\microsoft\windows\dllcache\samlib.dll
- %APPDATA%\microsoft\windows\dllcache\tapisysprep.dll
- %APPDATA%\microsoft\windows\dllcache\ndadmin.exe
- %APPDATA%\microsoft\windows\dllcache\msnetobj.dll
- %APPDATA%\microsoft\windows\dllcache\hid.dll
- %APPDATA%\microsoft\windows\dllcache\odbc32gt.dll
- %APPDATA%\microsoft\windows\dllcache\shgina.dll
- %APPDATA%\microsoft\windows\dllcache\hh.exe
- %APPDATA%\microsoft\windows\dllcache\x264vfw.dll
- %APPDATA%\microsoft\windows\dllcache\qagent.dll
- %APPDATA%\microsoft\windows\dllcache\virtdisk.dll
- %APPDATA%\microsoft\windows\dllcache\kbd101a.dll
- %APPDATA%\microsoft\windows\dllcache\resampledmo.dll
- %APPDATA%\microsoft\windows\dllcache\iassam.dll
- %APPDATA%\microsoft\windows\dllcache\eapp3hst.dll
- %APPDATA%\microsoft\windows\dllcache\gcdef.dll
- %APPDATA%\microsoft\windows\dllcache\tapisrv.dll
- %APPDATA%\microsoft\windows\dllcache\ieakeng.dll
- %APPDATA%\microsoft\windows\dllcache\wlancfg.dll
- %APPDATA%\microsoft\windows\dllcache\basecsp.dll
- %APPDATA%\microsoft\windows\dllcache\xpsfilt.dll
- %APPDATA%\microsoft\windows\dllcache\wpdshserviceobj.dll
- %APPDATA%\microsoft\windows\dllcache\sbe.dll
- %APPDATA%\microsoft\windows\dllcache\chkdsk.exe
- %APPDATA%\microsoft\windows\dllcache\l2sechc.dll
- %APPDATA%\microsoft\windows\dllcache\fwcfg.dll
- %APPDATA%\microsoft\windows\dllcache\mlang.dat
- %APPDATA%\microsoft\windows\dllcache\ddoiproxy.dll
- %APPDATA%\microsoft\windows\dllcache\mpeg2data.ax
- %APPDATA%\microsoft\windows\dllcache\dataclen.dll
- %APPDATA%\microsoft\windows\dllcache\compobj.dll
- %APPDATA%\microsoft\windows\dllcache\lcptr.tbl
- %APPDATA%\microsoft\windows\dllcache\hbaapi.dll
- %APPDATA%\microsoft\windows\dllcache\clb.dll
- %APPDATA%\microsoft\windows\dllcache\cca.dll
- %APPDATA%\microsoft\windows\dllcache\kbdfo.dll
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\startup\bthudtask.lnk
- %TEMP%\tmpb947.tmp
- %APPDATA%\microsoft\windows\dllcache\rcxb908.tmp
- %APPDATA%\microsoft\windows\dllcache\rcxb8c8.tmp
- %TEMP%\tmpb898.tmp
- %APPDATA%\microsoft\windows\dllcache\racengn.dll
- %APPDATA%\microsoft\windows\dllcache\jscript.dll
- %APPDATA%\microsoft\windows\dllcache\neth.dll
- %APPDATA%\microsoft\windows\dllcache\eappgnui.dll
- %APPDATA%\microsoft\windows\dllcache\kbd101.dll
- %APPDATA%\microsoft\windows\dllcache\format.com
- %APPDATA%\microsoft\windows\dllcache\d3dxof.dll
- %APPDATA%\microsoft\windows\dllcache\mapisvc.inf
- %APPDATA%\microsoft\windows\dllcache\d3d10core.dll
- %APPDATA%\microsoft\windows\dllcache\iasdatastore.dll
- %APPDATA%\microsoft\windows\dllcache\devmgmt.msc
- %APPDATA%\microsoft\windows\dllcache\wabsyncprovider.dll
- %APPDATA%\microsoft\windows\dllcache\w32topl.dll
- %APPDATA%\microsoft\windows\dllcache\wdigest.dll
- %APPDATA%\microsoft\windows\dllcache\udhisapi.dll
- %APPDATA%\microsoft\windows\dllcache\setx.exe
- %APPDATA%\microsoft\windows\dllcache\devicepairingwizard.exe
- %APPDATA%\microsoft\windows\dllcache\eapqec.dll
- %APPDATA%\microsoft\windows\dllcache\rasadhlp.dll
- %APPDATA%\microsoft\windows\dllcache\wcneapauthproxy.dll
- %APPDATA%\microsoft\windows\dllcache\gpedit.dll
- %APPDATA%\microsoft\windows\dllcache\drprov.dll
- %APPDATA%\microsoft\windows\dllcache\f3ahvoas.dll
- %APPDATA%\microsoft\windows\dllcache\fdbthproxy.dll
- %APPDATA%\microsoft\windows\dllcache\ocsetup.exe
- %APPDATA%\microsoft\windows\dllcache\tapiperf.dll
- %APPDATA%\microsoft\windows\dllcache\mode.com
- %APPDATA%\microsoft\windows\dllcache\fdwnet.dll
- %APPDATA%\microsoft\windows\dllcache\laprxy.dll
- %APPDATA%\microsoft\windows\dllcache\msacm32.drv
- %APPDATA%\microsoft\windows\dllcache\rmactivate_isv.exe
- %APPDATA%\microsoft\windows\dllcache\davclnt.dll
- %APPDATA%\microsoft\windows\dllcache\l2nacp.dll
- %APPDATA%\microsoft\windows\dllcache\vdmdbg.dll
Удаляет следующие файлы
- %TEMP%\tmpb898.tmp
- %TEMP%\tmpb947.tmp
Перемещает следующие файлы
- %APPDATA%\microsoft\windows\dllcache\rcxb8c8.tmp в %APPDATA%\microsoft\windows\dllcache\bthudtask.exe
- %APPDATA%\microsoft\windows\dllcache\rcxb908.tmp в %APPDATA%\microsoft\windows\dllcache\bthudtask.exe
Самоудаляется.
Сетевая активность
Подключается к
- '10#.#63.239.231':666
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'NotifyIconOverflowWindow' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\dllcache\bthudtask.exe' "<Полный путь к файлу>"
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe' -k netsvcs
