Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'L2Schemas' = '%HOMEPATH%\DirectX\Google.com "%HOMEPATH%\DirectX\L2Schemas"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\directx
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\ctfmon.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\<Имя файла>.exe
- %TEMP%\aut3039.tmp
- %HOMEPATH%\directx\controls
- %TEMP%\aut30c7.tmp
- %HOMEPATH%\directx\google.com
- %TEMP%\aut31a3.tmp
- %HOMEPATH%\directx\l2schemas
- %TEMP%\aut3211.tmp
- %HOMEPATH%\directx\2929303.vbe
- %TEMP%\zendopcache.memorybase@user
- %APPDATA%\microsoft\internet explorer\googleupdate.exe
- %HOMEPATH%\mru.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\<Имя файла>.exe
- %HOMEPATH%\directx\controls
- %APPDATA%\microsoft\internet explorer\googleupdate.exe
- %HOMEPATH%\directx\2929303.vbe
- %HOMEPATH%\directx\google.com
- %HOMEPATH%\directx\l2schemas
Удаляет следующие файлы
- %TEMP%\aut3039.tmp
- %TEMP%\aut30c7.tmp
- %TEMP%\aut31a3.tmp
- %TEMP%\aut3211.tmp
- %APPDATA%\microsoft\internet explorer\googleupdate.exe
Сетевая активность
UDP
- DNS ASK sy######dat60.dahuaddns.com
- DNS ASK mi######t.net.linkpc.net
- DNS ASK ne######service.myq-see.com
- DNS ASK ey####m.myq-see.com
Другое
Создает и запускает на исполнение
- '%TEMP%\<Имя файла>.exe'
- '%TEMP%\<Имя файла>.exe' -c "C:\php-cli.ini" "C:\vos.php"
- '%HOMEPATH%\directx\google.com' L2Schemas
- '%APPDATA%\microsoft\internet explorer\googleupdate.exe' "%HOMEPATH%\mru.dat"
- '%WINDIR%\syswow64\cmd.exe' /C cd %userprofile%\DirectX\ && PowerShell.exe Start-Process Google.com "L2Schemas" && Exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C copy /Y "%userprofile%\DirectX\Google.com" "%APPDATA%\Microsoft\Internet Explorer\GoogleUpdate.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /delete /tn DirectX /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /create /tn "DirectX" /tr "\"%userprofile%\DirectX\2929303.vbe"" /ru %username% /sc minute /mo 5' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C cd %userprofile%\DirectX\ && PowerShell.exe Start-Process Google.com "L2Schemas" && Exit
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Start-Process Google.com "L2Schemas"
- '%WINDIR%\syswow64\cmd.exe' /C copy /Y "%userprofile%\DirectX\Google.com" "%APPDATA%\Microsoft\Internet Explorer\GoogleUpdate.exe"
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /delete /tn DirectX /f
- '%WINDIR%\syswow64\schtasks.exe' /delete /tn DirectX /f
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /create /tn "DirectX" /tr "\"%userprofile%\DirectX\2929303.vbe"" /ru %username% /sc minute /mo 5
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "DirectX" /tr "\"%HOMEPATH%\DirectX\2929303.vbe"" /ru user /sc minute /mo 5
- '%WINDIR%\syswow64\ctfmon.exe'
