Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\Currentversion\Run] '{5AC542C4-8598-5CE0-5F75-8A652136B4C1}' = '"%APPDATA%\Tube\nyumx.exe"'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- firefox.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль crypt32.dll
- Процесс firefox.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль wininet.dll
- Процесс firefox.exe, модуль crypt32.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\SOFTWARE\Far\Plugins\ftp\hosts]
- [<HKCU>\SOFTWARE\Far2\Plugins\ftp\hosts]
- [<HKCU>\SOFTWARE\martin prikryl\winscp 2\sessions]
- [<HKLM>\SOFTWARE\martin prikryl\winscp 2\sessions]
- [<HKCU>\SOFTWARE\ftpware\coreftp\sites]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
Создает onion-сервис
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\tor\state.tmp
- %TEMP%\libpdcurses.dll
- %TEMP%\libcurl-4.dll
- %APPDATA%\microsoft\address book\user.wab~
- %TEMP%\mps1.tmp
- <LS_APPDATA>\identities\{d6909be8-ea09-4677-9635-1238019fcabc}\microsoft\outlook express\sent items.dbx
- <LS_APPDATA>\identities\{d6909be8-ea09-4677-9635-1238019fcabc}\microsoft\outlook express\offline.dbx
- %TEMP%\pthreadgc2.dll
- <LS_APPDATA>\identities\{d6909be8-ea09-4677-9635-1238019fcabc}\microsoft\outlook express\inbox.dbx
- %TEMP%\tmpdb7a1cff.bat
- %APPDATA%\microsoft\address book\user.wab
- %APPDATA%\fiapa\wouc.lar
- %APPDATA%\tube\nyumx.exe
- %APPDATA%\tor\hidden_service\hostname.tmp
- %APPDATA%\tor\hidden_service\private_key.tmp
- <LS_APPDATA>\identities\{d6909be8-ea09-4677-9635-1238019fcabc}\microsoft\outlook express\folders.dbx
- %TEMP%\poclbm120222.cl
Удаляет следующие файлы
- %TEMP%\mps1.tmp
Перемещает следующие файлы
- %APPDATA%\tor\state.tmp в %APPDATA%\tor\state
- %APPDATA%\tor\hidden_service\private_key.tmp в %APPDATA%\tor\hidden_service\private_key
- %APPDATA%\tor\hidden_service\hostname.tmp в %APPDATA%\tor\hidden_service\hostname
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://lo###host:42349/z/config.bin
- http://12#.#.0.1:59812/iplist.txt
- http://12#.#.0.1:59851/iplist.txt
UDP
- DNS ASK ch####p.dyndns.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\tube\nyumx.exe'
- '<Полный путь к файлу>' ' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' --HiddenServiceDir "%APPDATA%\tor\hidden_service" --HiddenServicePort "55080 127.0.0.1:55080"' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' (null)' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' ext "<Полный путь к файлу>"' (со скрытым окном)
- '%APPDATA%\tube\nyumx.exe' ' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' ext "%APPDATA%\Tube\nyumx.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\tmpdb7a1cff.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' --HiddenServiceDir "%APPDATA%\tor\hidden_service" --HiddenServicePort "55080 127.0.0.1:55080"
- '<SYSTEM32>\svchost.exe' (null)
- '<SYSTEM32>\svchost.exe' ext "<Полный путь к файлу>"
- '<SYSTEM32>\svchost.exe' ext "%APPDATA%\Tube\nyumx.exe"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\tmpdb7a1cff.bat"
