Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\90845566\cuk.exe %TEMP%\90845566\rej=erg'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '90845566' = '%TEMP%\90845566\start.vbs'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\start.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\90845566\lfv.xl
- %TEMP%\90845566\aqv.pdf
- %TEMP%\90845566\hsa.icm
- %TEMP%\90845566\jot.pdf
- %TEMP%\90845566\cfo.jpg
- %TEMP%\90845566\tck.dat
- %TEMP%\90845566\odb.docx
- %TEMP%\90845566\hwu.mp4
- %TEMP%\90845566\rxs.mp3
- %TEMP%\90845566\mrp.ico
- %TEMP%\90845566\cro.ppt
- %TEMP%\90845566\lgd.pdf
- %TEMP%\90845566\dqr.dat
- %TEMP%\90845566\kqt.ppt
- %TEMP%\90845566\lwu.mp4
- %TEMP%\90845566\qhx.icm
- %TEMP%\90845566\bbg.docx
- %TEMP%\90845566\gce.mp4
- %TEMP%\90845566\npj.mp4
- %TEMP%\90845566\rleag
- %TEMP%\90845566\ini
- %TEMP%\90845566\srr.docx
- %TEMP%\90845566\blu.ico
- %TEMP%\90845566\mmg.pdf
- %TEMP%\90845566\qkx.pdf
- %TEMP%\90845566\njo.bmp
- %TEMP%\90845566\sfh.vbs
- %TEMP%\90845566\cuk.exe
- %TEMP%\90845566\vcp.ico
- %TEMP%\90845566\smd.ico
- %TEMP%\90845566\evk.bmp
- %TEMP%\90845566\iak.ppt
- %TEMP%\90845566\imm.bmp
- %TEMP%\90845566\wxl.jpg
- %TEMP%\90845566\lqw.ico
- %TEMP%\90845566\start.vbs
- %TEMP%\90845566\kvm.pdf
- %TEMP%\90845566\gvb.ico
- %TEMP%\90845566\vet.docx
- %TEMP%\90845566\gfv.ppt
- %TEMP%\90845566\nip.jpg
- %TEMP%\90845566\jgt.pdf
- %TEMP%\90845566\frs.bmp
- %TEMP%\90845566\mbn.icm
- %TEMP%\90845566\wln.bmp
- %TEMP%\90845566\hea.bmp
- %TEMP%\90845566\pim.txt
- %TEMP%\90845566\rej=erg
- %TEMP%\90845566\qwf.mp4
- %TEMP%\90845566\start.cmd
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\90845566\aqv.pdf
- %TEMP%\90845566\mmg.pdf
- %TEMP%\90845566\mrp.ico
- %TEMP%\90845566\nip.jpg
- %TEMP%\90845566\njo.bmp
- %TEMP%\90845566\npj.mp4
- %TEMP%\90845566\odb.docx
- %TEMP%\90845566\pim.txt
- %TEMP%\90845566\qhx.icm
- %TEMP%\90845566\gvb.ico
- %TEMP%\90845566\qkx.pdf
- %TEMP%\90845566\rej=erg
- %TEMP%\90845566\rxs.mp3
- %TEMP%\90845566\sfh.vbs
- %TEMP%\90845566\smd.ico
- %TEMP%\90845566\srr.docx
- %TEMP%\90845566\tck.dat
- %TEMP%\90845566\vcp.ico
- %TEMP%\90845566\vet.docx
- %TEMP%\90845566\lwu.mp4
- %TEMP%\90845566\mbn.icm
- %TEMP%\90845566\lqw.ico
- %TEMP%\90845566\lgd.pdf
- %TEMP%\90845566\lfv.xl
- %TEMP%\90845566\blu.ico
- %TEMP%\90845566\cfo.jpg
- %TEMP%\90845566\cro.ppt
- %TEMP%\90845566\cuk.exe
- %TEMP%\90845566\dqr.dat
- %TEMP%\90845566\evk.bmp
- %TEMP%\90845566\frs.bmp
- %TEMP%\90845566\gce.mp4
- %TEMP%\90845566\wln.bmp
- %TEMP%\90845566\qwf.mp4
- %TEMP%\90845566\gfv.ppt
- %TEMP%\90845566\hsa.icm
- %TEMP%\90845566\hwu.mp4
- %TEMP%\90845566\iak.ppt
- %TEMP%\90845566\imm.bmp
- %TEMP%\90845566\jgt.pdf
- %TEMP%\90845566\jot.pdf
- %TEMP%\90845566\kqt.ppt
- %TEMP%\90845566\kvm.pdf
- %TEMP%\90845566\bbg.docx
- %TEMP%\90845566\hea.bmp
- %TEMP%\90845566\wxl.jpg
Удаляет следующие файлы
- %TEMP%\90845566\rleag
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%TEMP%\90845566\sfh.vbs"
- '%TEMP%\90845566\cuk.exe' rej=erg
- '%TEMP%\90845566\cuk.exe' %TEMP%\90845566\RLEAG
