Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] '279E.tmp.exe' = '<SYSTEM32>\279E.tmp.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
- %APPDATA%\microsoft\windows\start menu\programs\startup\279e.tmp.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\join.avi.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\dashborder_144.bmp.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\dialmap.bmp.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\dial.bmp.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\default.bmp.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\coffee.bmp.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\contoso.cer.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\testee.cer.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\contosoroot_1.cer.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\notepad.exe.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\calc.exe.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\toolbar.bmp.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\applicantform_en.doc.id-6387feae.[admin@sectex.net].bot
- <Имя диска съемного носителя>:\wrar520.exe
- <Имя диска съемного носителя>:\tcm851ax32.exe
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- 279e.tmp.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d47f.tmp
- %APPDATA%\ctgdihw
- %APPDATA%\sftvcdb
- %APPDATA%\uuheswj
- %TEMP%\279e.tmp.exe
- %TEMP%\2e08.tmp.exe
- %TEMP%\769b.tmp.exe
- <SYSTEM32>\279e.tmp.exe
- %PROGRAMDATA%\microsoft\windows\start menu\programs\startup\279e.tmp.exe
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-6387feae.[admin@sectex.net].bot
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-6387feae.[admin@sectex.net].bot
- %TEMP%\d46c.tmp.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ctgdihw
- %APPDATA%\sftvcdb
- %APPDATA%\uuheswj
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-6387feae.[admin@sectex.net].bot
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-6387feae.[admin@sectex.net].bot
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://23.##.227.212/sky/dmx777.exe
- http://23.##.227.212/dmx777amx.exe
- http://23.##.227.212/dan777.exe
- http://23.##.227.212/elin/elin2.exe
Запросы HTTP POST
- http://bl###erv27.com/blogpics17/
UDP
- DNS ASK bl###erv27.com
Другое
Создает и запускает на исполнение
- '%TEMP%\279e.tmp.exe'
- '%TEMP%\2e08.tmp.exe'
- '%TEMP%\769b.tmp.exe'
- '%TEMP%\d46c.tmp.exe'
- '<SYSTEM32>\cmd.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
