Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\PrtSmanm] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\PrtSmanm] 'ImagePath' = '"<SYSTEM32>\smsc.exe"'
Изменяет следующие исполняемые системные файлы
- <SYSTEM32>\cmd.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\recycler\s-1-5-21-2214276341-3544434524-6043330-4321\desktop.ini
- <Имя диска съемного носителя>:\recycler\s-1-5-21-2214276341-3544434524-6043330-4321\update.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\winlogon.exe' = '<SYSTEM32>\winlogon.exe:*:enabled:@she...
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop SharedAccess
- '<SYSTEM32>\net.exe' stop "Security Center"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\alg.exe
Изменения в файловой системе
Создает следующие файлы
- C:\sdfeww.bat
- %TEMP%\7684d.reg
- <SYSTEM32>\smsc.exe
- %WINDIR%\temp\7684d.reg
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\recycler\s-1-5-21-2214276341-3544434524-6043330-4321\update.exe
Удаляет следующие файлы
- %TEMP%\7684d.reg
- %WINDIR%\temp\7684d.reg
Подменяет следующие файлы
- C:\sdfeww.bat
- %WINDIR%\temp\7684d.reg
Самоудаляется.
Сетевая активность
Подключается к
- '60.##5.98.198':8685
- '60.##5.98.198':8686
UDP
- DNS ASK pr####.ntkrnlpa.info
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\smsc.exe'
- '<SYSTEM32>\cmd.exe' /c net stop SharedAccess' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c c:\sdfeww.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net stop "Security Center"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net start SharedAccess' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c net stop SharedAccess
- '<SYSTEM32>\net1.exe' stop SharedAccess
- '<SYSTEM32>\cmd.exe' /c c:\sdfeww.bat
- '%WINDIR%\regedit.exe' /S %TEMP%\7684d.reg
- '<SYSTEM32>\cmd.exe' /c net stop "Security Center"
- '<SYSTEM32>\cmd.exe' /c net start SharedAccess
- '<SYSTEM32>\net.exe' start SharedAccess
- '<SYSTEM32>\net1.exe' start SharedAccess
- '<SYSTEM32>\net1.exe' stop "Security Center"
- '%WINDIR%\regedit.exe' /S %WINDIR%\TEMP\7684d.reg
- '<SYSTEM32>\alg.exe'
