Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost' = '%HOMEPATH%\My Documents\noyou\you.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%HOMEPATH%\My Documents\noyou\you.exe'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\notepad.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\wb144\file.exe
- %WINDIR%\wb14\file\zz.dpr
- %WINDIR%\wb14\file\zz.dof
- %WINDIR%\wb14\file\zz.cfg
- %WINDIR%\wb14\file\unit1.~pas
- %WINDIR%\wb14\file\unit1.~dfm
- %WINDIR%\wb14\file\unit1.~ddp
- %WINDIR%\wb14\file\zz.exe
- %WINDIR%\wb14\file\unit1.pas
- %WINDIR%\wb14\file\unit1.ddp
- %WINDIR%\wb14\file\unit1.dcu
- %TEMP%\filee.exe
- %HOMEPATH%\my documents\noyou\you.exe
- %WINDIR%\wb14\file\file.exe
- %WINDIR%\wb144\set3.bat
- %WINDIR%\wb14\file\unit1.dfm
- %WINDIR%\wb14\file\zz.res
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\my documents\noyou\you.exe
- %WINDIR%\wb14\file\file.exe
Удаляет следующие файлы
- %WINDIR%\wb14\file\file.exe
Сетевая активность
Подключается к
- '<LOCALNET>.0.103':1604
UDP
- DNS ASK uz####a.ddns.net
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '#32770' WindowName: '??????? ????'
- ClassName: '#32770' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\wb144\file.exe' -p123 -d%WINDIR%\WB14
- '%WINDIR%\wb14\file\file.exe' /file.exe
- '%TEMP%\filee.exe'
- '%HOMEPATH%\my documents\noyou\you.exe'
- '%WINDIR%\wb14\file\zz.exe' /zz.exe
- '<SYSTEM32>\cmd.exe' /k attrib "%WINDIR%\WB14\file\file.exe" +s +h' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k attrib "%WINDIR%\WB14\file" +s +h' (со скрытым окном)
- '<SYSTEM32>\notepad.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\WB144\set3.bat" /Windows/WB144/set3.bat"
- '<SYSTEM32>\cmd.exe' /k attrib "%WINDIR%\WB14\file\file.exe" +s +h
- '<SYSTEM32>\cmd.exe' /k attrib "%WINDIR%\WB14\file" +s +h
- '<SYSTEM32>\attrib.exe' "%WINDIR%\WB14\file" +s +h
- '<SYSTEM32>\attrib.exe' "%WINDIR%\WB14\file\file.exe" +s +h
- '<SYSTEM32>\notepad.exe'
- '%ProgramFiles%\internet explorer\iexplore.exe'
