Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\win.ini
- %APPDATA%\microsoft\windows\start menu\programs\startup\bitea82.tmp
- %WINDIR%\tasks\resmon.job
- <SYSTEM32>\tasks\resmon
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Adobe' = '00000000'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsmca3d.tmp
- %APPDATA%\adobe\bite1c7.tmp
- %TEMP%\bine.dll
- %TEMP%\stalag
- %TEMP%\system.dll
- %TEMP%\rank\fragment\ec\pnmalias.1
- %TEMP%\rank\fragment\ec\74.opends60.dll
- %TEMP%\rank\fragment\ec\ole2.h
- %TEMP%\blocks\begin\orderby\f03diforwc07.gif
- %TEMP%\blocks\begin\orderby\co9401writebool.cs
- %TEMP%\blocks\begin\orderby\fileutil.cpython-35.pyc
- %TEMP%\blocks\begin\orderby\contractdetail.xml
- %TEMP%\4bd86506.lnk
- %TEMP%\usersearch\vju.exe
- %TEMP%\usersearch\co4242nexti.cs
- %TEMP%\usersearch\ibm038.gz
- %TEMP%\usersearch\ntlmauth.py
- %APPDATA%\folderopen.svg
- %APPDATA%\sane-dmc.5.gz
- %APPDATA%\max98088.h
- %APPDATA%\unset\balance\ajaxrequest\term\woff.xml
- %APPDATA%\unset\balance\ajaxrequest\term\cert2spc.exe
- %APPDATA%\unset\balance\ajaxrequest\term\elementpath.cpython-35.pyc
- %APPDATA%\unset\balance\ajaxrequest\term\x-netcdf.xml
- %APPDATA%\unset\balance\ajaxrequest\term\atomic-irq.h
- %TEMP%\usersearch\grub-pc.prerm
- %APPDATA%\remcos\logs.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\adobe\bite1c7.tmp
- %APPDATA%\microsoft\windows\start menu\programs\startup\bitea82.tmp
Перемещает следующие файлы
- %APPDATA%\adobe\bite1c7.tmp в %APPDATA%\adobe\resmon.exe
Сетевая активность
UDP
- DNS ASK od#####22.duckdns.org
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths" /v "%APPDATA%\Adobe" /t REG_DWORD /d 0"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe'
- '<SYSTEM32>\cmd.exe' /c "reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths" /v "%APPDATA%\Adobe" /t REG_DWORD /d 0"
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths" /v "%APPDATA%\Adobe" /t REG_DWORD /d 0
