Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\software\microsoft\windows\currentversion\run] 'wscsvc' = '%PROGRAMDATA%\TEMP\Microsoft\Windows\Sqm\Upload\WinRAR\wscsvc.exe'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im nss3.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im wind.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ervd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im device.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im winsvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im biosCVR.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2544d9yd.bat
- %LOCALAPPDATA%\qb134a0c.42\mpssvc.exe
- %LOCALAPPDATA%\qb134a0c.42\nss3.exe
- %LOCALAPPDATA%\qb134a0c.42\p.rar
- %LOCALAPPDATA%\qb134a0c.42\ur.exe
- %LOCALAPPDATA%\qb134a0c.42\wscsvc.exe
- %PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\nss3.exe
- %PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\mpssvc.exe
- %PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\wscsvc.exe
- %PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\p.rar
- %PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\ur.exe
- %PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\w7p.mp3
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\2544d9yd.bat
Удаляет следующие файлы
- %TEMP%\2544d9yd.bat
- %LOCALAPPDATA%\qb134a0c.42\mpssvc.exe
- %LOCALAPPDATA%\qb134a0c.42\nss3.exe
- %LOCALAPPDATA%\qb134a0c.42\p.rar
- %LOCALAPPDATA%\qb134a0c.42\ur.exe
- %LOCALAPPDATA%\qb134a0c.42\wscsvc.exe
Сетевая активность
UDP
- DNS ASK ag#####nowden.no-ip.biz
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\wscsvc.exe'
- '%PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\nss3.exe'
- '%PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\mpssvc.exe' t
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2544D9YD.bat" "<Полный путь к файлу>" "' (со скрытым окном)
- '%PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\nss3.exe' ' (со скрытым окном)
- '%PROGRAMDATA%\temp\microsoft\windows\sqm\upload\winrar\mpssvc.exe' t' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2544D9YD.bat" "<Полный путь к файлу>" "
- '%WINDIR%\syswow64\attrib.exe' +h %PROGRAMDATA%\TEMP\Microsoft\Windows\Sqm\Upload\WinRAR
- '%WINDIR%\syswow64\attrib.exe' +h %PROGRAMDATA%
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run /v wscsvc /t reg_sz /d "%PROGRAMDATA%\TEMP\Microsoft\Windows\Sqm\Upload\WinRAR\wscsvc.exe" /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run /v wind /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run /v device /f
