Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lvugel' = 'aznobxsmlfqpdmohjuhpe.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lvugel' = 'ljwwidxqohrpckldeoah.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yjjwvdk' = 'ezjgphyojzgblqodb.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'nzaooxfm' = 'yvhgrlewtlurdkkbbkv.exe .'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'nzaooxfm' = 'njuscvnearzvgmlbai.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'xloegrbkyh' = '%TEMP%\ezjgphyojzgblqodb.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ertijtckx' = '%TEMP%\ezjgphyojzgblqodb.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'krn' = '%TEMP%\yvhgrlewtlurdkkbbkv.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = '%TEMP%\njuscvnearzvgmlbai.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = '%TEMP%\njuscvnearzvgmlbai.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = 'njuscvnearzvgmlbai.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = 'ljwwidxqohrpckldeoah.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'nzaooxfm' = 'xrawevlaujpjswth.exe .'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'nzaooxfm' = 'aznobxsmlfqpdmohjuhpe.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'xloegrbkyh' = '%TEMP%\ljwwidxqohrpckldeoah.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'krn' = '%TEMP%\xrawevlaujpjswth.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = '%TEMP%\ljwwidxqohrpckldeoah.exe .'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = '%TEMP%\yvhgrlewtlurdkkbbkv.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = 'njuscvnearzvgmlbai.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'nzaooxfm' = 'ljwwidxqohrpckldeoah.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ertijtckx' = '%TEMP%\aznobxsmlfqpdmohjuhpe.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = 'ezjgphyojzgblqodb.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = 'aznobxsmlfqpdmohjuhpe.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = 'ljwwidxqohrpckldeoah.exe .'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = '%TEMP%\ezjgphyojzgblqodb.exe .'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = '%TEMP%\xrawevlaujpjswth.exe .'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = '%TEMP%\ljwwidxqohrpckldeoah.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = 'aznobxsmlfqpdmohjuhpe.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lvugel' = 'ezjgphyojzgblqodb.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yjjwvdk' = 'xrawevlaujpjswth.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'nzaooxfm' = 'ezjgphyojzgblqodb.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'xloegrbkyh' = '%TEMP%\xrawevlaujpjswth.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ertijtckx' = '%TEMP%\yvhgrlewtlurdkkbbkv.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'krn' = '%TEMP%\ljwwidxqohrpckldeoah.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = '%TEMP%\aznobxsmlfqpdmohjuhpe.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = '%TEMP%\aznobxsmlfqpdmohjuhpe.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = 'yvhgrlewtlurdkkbbkv.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = 'yvhgrlewtlurdkkbbkv.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lvugel' = 'njuscvnearzvgmlbai.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ajhsp' = 'xrawevlaujpjswth.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lvugel' = 'yvhgrlewtlurdkkbbkv.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yjjwvdk' = 'yvhgrlewtlurdkkbbkv.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yjjwvdk' = 'aznobxsmlfqpdmohjuhpe.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'xloegrbkyh' = '%TEMP%\aznobxsmlfqpdmohjuhpe.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'xloegrbkyh' = '%TEMP%\njuscvnearzvgmlbai.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ertijtckx' = '%TEMP%\ljwwidxqohrpckldeoah.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'ertijtckx' = '%TEMP%\xrawevlaujpjswth.exe .'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'krn' = '%TEMP%\aznobxsmlfqpdmohjuhpe.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'krn' = '%TEMP%\njuscvnearzvgmlbai.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = '%TEMP%\yvhgrlewtlurdkkbbkv.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'rzwg' = 'xrawevlaujpjswth.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'lvugel' = 'xrawevlaujpjswth.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'yjjwvdk' = 'ljwwidxqohrpckldeoah.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\lvugel.exe
- <Имя диска съемного носителя>:\yjjwvdk.bat
- <Имя диска съемного носителя>:\ertijtckx.bat
- <Имя диска съемного носителя>:\shlcfrcmblm.bat
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Принудительно разрешает автозапуск со съемных носителей.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\gvzyqzrsvtm.exe
- %WINDIR%\syswow64\bfyewxxwazptmahfmcuhbf.ewx
- %ProgramFiles(x86)%\bfyewxxwazptmahfmcuhbf.ewx
- <LS_APPDATA>\bfyewxxwazptmahfmcuhbf.ewx
- %WINDIR%\bfyewxxwazptmahfmcuhbf.ewx
- %TEMP%\bfyewxxwazptmahfmcuhbf.ewx
- %WINDIR%\syswow64\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- %ProgramFiles(x86)%\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- <LS_APPDATA>\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- %TEMP%\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- D:\shlcfrcmblm.bat
- %TEMP%\nzaooxfm\xloegrbkyh.exe
- %TEMP%\nzaooxfm\rcxee2a.tmp
- C:\yjjwvdk.bat
- C:\ertijtckx.bat
- C:\shlcfrcmblm.bat
- C:\autorun.inf
- D:\yjjwvdk.bat
- D:\ertijtckx.bat
- %TEMP%\ajhsp.exe
- %WINDIR%\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- %TEMP%\rrgiwtpkkfrrgqtnqcqzpp.exe
- %WINDIR%\ezjgphyojzgblqodb.exe
- %WINDIR%\syswow64\xrawevlaujpjswth.exe
- %WINDIR%\syswow64\ezjgphyojzgblqodb.exe
- %WINDIR%\syswow64\njuscvnearzvgmlbai.exe
- %WINDIR%\syswow64\yvhgrlewtlurdkkbbkv.exe
- %WINDIR%\syswow64\ljwwidxqohrpckldeoah.exe
- %WINDIR%\syswow64\aznobxsmlfqpdmohjuhpe.exe
- %WINDIR%\syswow64\rrgiwtpkkfrrgqtnqcqzpp.exe
- %WINDIR%\xrawevlaujpjswth.exe
- %WINDIR%\njuscvnearzvgmlbai.exe
- %TEMP%\ljwwidxqohrpckldeoah.exe
- %WINDIR%\yvhgrlewtlurdkkbbkv.exe
- %WINDIR%\ljwwidxqohrpckldeoah.exe
- %WINDIR%\aznobxsmlfqpdmohjuhpe.exe
- %WINDIR%\rrgiwtpkkfrrgqtnqcqzpp.exe
- %TEMP%\xrawevlaujpjswth.exe
- %TEMP%\ezjgphyojzgblqodb.exe
- %TEMP%\njuscvnearzvgmlbai.exe
- %TEMP%\yvhgrlewtlurdkkbbkv.exe
- %TEMP%\aznobxsmlfqpdmohjuhpe.exe
- D:\autorun.inf
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\xrawevlaujpjswth.exe
- %TEMP%\bfyewxxwazptmahfmcuhbf.ewx
- %WINDIR%\syswow64\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- %ProgramFiles(x86)%\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- <LS_APPDATA>\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- %WINDIR%\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- %TEMP%\shlcfrcmblmbfewfxybzetxordoynxynr.irj
- C:\yjjwvdk.bat
- <LS_APPDATA>\bfyewxxwazptmahfmcuhbf.ewx
- %WINDIR%\bfyewxxwazptmahfmcuhbf.ewx
- C:\ertijtckx.bat
- D:\yjjwvdk.bat
- D:\ertijtckx.bat
- D:\shlcfrcmblm.bat
- D:\autorun.inf
- <Имя диска съемного носителя>:\lvugel.exe
- <Имя диска съемного носителя>:\yjjwvdk.bat
- <Имя диска съемного носителя>:\ertijtckx.bat
- C:\shlcfrcmblm.bat
- C:\autorun.inf
- %ProgramFiles(x86)%\bfyewxxwazptmahfmcuhbf.ewx
- %WINDIR%\syswow64\bfyewxxwazptmahfmcuhbf.ewx
- %TEMP%\rrgiwtpkkfrrgqtnqcqzpp.exe
- %WINDIR%\syswow64\njuscvnearzvgmlbai.exe
- %WINDIR%\syswow64\yvhgrlewtlurdkkbbkv.exe
- %WINDIR%\syswow64\ljwwidxqohrpckldeoah.exe
- %WINDIR%\syswow64\aznobxsmlfqpdmohjuhpe.exe
- %WINDIR%\syswow64\rrgiwtpkkfrrgqtnqcqzpp.exe
- %WINDIR%\xrawevlaujpjswth.exe
- %WINDIR%\ezjgphyojzgblqodb.exe
- %WINDIR%\njuscvnearzvgmlbai.exe
- %WINDIR%\syswow64\ezjgphyojzgblqodb.exe
- %WINDIR%\yvhgrlewtlurdkkbbkv.exe
- %WINDIR%\aznobxsmlfqpdmohjuhpe.exe
- %WINDIR%\rrgiwtpkkfrrgqtnqcqzpp.exe
- %TEMP%\xrawevlaujpjswth.exe
- %TEMP%\ezjgphyojzgblqodb.exe
- %TEMP%\njuscvnearzvgmlbai.exe
- %TEMP%\yvhgrlewtlurdkkbbkv.exe
- %TEMP%\ljwwidxqohrpckldeoah.exe
- %TEMP%\aznobxsmlfqpdmohjuhpe.exe
- %WINDIR%\ljwwidxqohrpckldeoah.exe
- <Имя диска съемного носителя>:\shlcfrcmblm.bat
- <Имя диска съемного носителя>:\autorun.inf
Перемещает следующие файлы
- %TEMP%\nzaooxfm\rcxee2a.tmp в %TEMP%\nzaooxfm\xloegrbkyh.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://www.sh####ipaddress.com/
- http://www.wh###smyip.com/
- http://wh#####yipaddress.com/
- http://www.yo##ube.com/
- http://jo###ohxty.net/
- http://ck##ko.info/
- http://is###ggmsq.org/
UDP
- DNS ASK sh####ipaddress.com
- DNS ASK is###ggmsq.org
- DNS ASK as##zyi.net
- DNS ASK sr##ci.net
- DNS ASK rh##clj.net
- DNS ASK am###xqc.net
- DNS ASK ck##ko.info
- DNS ASK xs####ptxrds.info
- DNS ASK ak##jt.info
- DNS ASK ia##jwp.net
- DNS ASK as###uftu.net
- DNS ASK zm###wlmfqr.com
- DNS ASK jo###ohxty.net
- DNS ASK yo##ube.com
- DNS ASK wh###smyip.ca
- DNS ASK wh#####yipaddress.com
- DNS ASK wh###smyip.com
- DNS ASK wh#####yip.everdot.org
- DNS ASK ji##pul.net
- DNS ASK ne###dzgyg.net
Другое
Создает и запускает на исполнение
- '%TEMP%\gvzyqzrsvtm.exe' "<Полный путь к файлу>*"
- '%TEMP%\ajhsp.exe' "-%TEMP%\xrawevlaujpjswth.exe"
