Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\23981422\jsr.exe %TEMP%\23981422\fca=bww'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MyOtApp' = '%APPDATA%\MyOtApp\MyOtApp.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
- [<HKCU>\Software\Paltalk]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FTP Commander]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\23981422\rai.xl
- %TEMP%\23981422\cto.pdf
- %TEMP%\23981422\ids.pdf
- %TEMP%\23981422\elm.dat
- %TEMP%\23981422\stp.dat
- %TEMP%\23981422\wvt.docx
- %TEMP%\23981422\lnq.mp4
- %TEMP%\23981422\bvv.ico
- %TEMP%\23981422\cwc.mp3
- %TEMP%\23981422\fpe.ico
- %TEMP%\23981422\xbt.bmp
- %TEMP%\23981422\fom.dat
- %TEMP%\23981422\ins.jpg
- %TEMP%\23981422\hwi.mp4
- %TEMP%\23981422\kcj.jpg
- %TEMP%\23981422\oeq.dat
- %TEMP%\23981422\bcd.dat
- %TEMP%\23981422\xej.dat
- %TEMP%\23981422\wqf.bmp
- %TEMP%\23981422\dsn.pdf
- %TEMP%\23981422\oil.txt
- %TEMP%\23981422\lkddx
- %TEMP%\23981422\cct.ppt
- %TEMP%\23981422\spd
- %TEMP%\23981422\lme.mp4
- %TEMP%\23981422\lrh.xl
- %TEMP%\23981422\fca=bww
- %TEMP%\23981422\jsr.exe
- %TEMP%\23981422\hxh.txt
- %TEMP%\23981422\kcu.pdf
- %TEMP%\23981422\fgd.jpg
- %TEMP%\23981422\qts.mp4
- %TEMP%\23981422\gqs.mp4
- %TEMP%\23981422\xni.ppt
- %TEMP%\23981422\hqd.txt
- %TEMP%\23981422\fak.bmp
- %TEMP%\23981422\pgv.mp4
- %TEMP%\23981422\dlc.txt
- %TEMP%\23981422\kkr.icm
- %TEMP%\23981422\wkt.mp3
- %TEMP%\23981422\mih.xl
- %TEMP%\23981422\wok.icm
- %TEMP%\23981422\gch.ppt
- %TEMP%\23981422\jkh.icm
- %TEMP%\23981422\mjq.dat
- %TEMP%\23981422\rmt.jpg
- %TEMP%\23981422\fji.docx
- %TEMP%\23981422\agc.mp4
- %APPDATA%\myotapp\myotapp.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\23981422\jsr.exe
- %TEMP%\23981422\kcu.pdf
- %TEMP%\23981422\kkr.icm
- %TEMP%\23981422\lme.mp4
- %TEMP%\23981422\lnq.mp4
- %TEMP%\23981422\lrh.xl
- %TEMP%\23981422\mih.xl
- %TEMP%\23981422\mjq.dat
- %TEMP%\23981422\oeq.dat
- %TEMP%\23981422\oil.txt
- %TEMP%\23981422\qts.mp4
- %TEMP%\23981422\xni.ppt
- %TEMP%\23981422\rai.xl
- %TEMP%\23981422\rmt.jpg
- %TEMP%\23981422\stp.dat
- %TEMP%\23981422\wkt.mp3
- %TEMP%\23981422\wok.icm
- %TEMP%\23981422\wqf.bmp
- %TEMP%\23981422\wvt.docx
- %TEMP%\23981422\xbt.bmp
- %TEMP%\23981422\xej.dat
- %TEMP%\23981422\kcj.jpg
- %TEMP%\23981422\pgv.mp4
- %TEMP%\23981422\jkh.icm
- %TEMP%\23981422\fak.bmp
- %TEMP%\23981422\agc.mp4
- %TEMP%\23981422\bcd.dat
- %TEMP%\23981422\bvv.ico
- %TEMP%\23981422\cct.ppt
- %TEMP%\23981422\cto.pdf
- %TEMP%\23981422\cwc.mp3
- %TEMP%\23981422\dlc.txt
- %TEMP%\23981422\dsn.pdf
- %TEMP%\23981422\elm.dat
- %TEMP%\23981422\fca=bww
- %TEMP%\23981422\ids.pdf
- %TEMP%\23981422\fgd.jpg
- %TEMP%\23981422\fji.docx
- %TEMP%\23981422\fom.dat
- %TEMP%\23981422\fpe.ico
- %TEMP%\23981422\gch.ppt
- %TEMP%\23981422\gqs.mp4
- %TEMP%\23981422\hqd.txt
- %TEMP%\23981422\hwi.mp4
- %TEMP%\23981422\hxh.txt
- %TEMP%\23981422\ins.jpg
- %APPDATA%\myotapp\myotapp.exe
Удаляет следующие файлы
- %TEMP%\23981422\lkddx
Сетевая активность
UDP
- DNS ASK ch####p.dyndns.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\23981422\jsr.exe' fca=bww
- '%TEMP%\23981422\jsr.exe' %TEMP%\23981422\LKDDX
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
