Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%TEMP%\FolderN\tata.exe.lnk'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'newapp' = '%APPDATA%\newapp\newapp.exe'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- svhost.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\RimArts\B2\Settings]
- [<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\foldern\tata.exe
- %TEMP%\foldern\tata.exe.lnk
- %TEMP%\svhost.exe
- %TEMP%\foldern\tata.exe.bat
- %APPDATA%\newapp\newapp.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %APPDATA%\mt0dtajd.4gi\chrome\default\cookies
- %APPDATA%\mt0dtajd.4gi\opera\cookies
- %APPDATA%\mt0dtajd.4gi\firefox\profiles\gn7ryp3k.default\cookies.sqlite
- %APPDATA%\mt0dtajd.4gi\thunderbird\profiles\wjj9aet2.default\cookies.sqlite
- %APPDATA%\mt0dtajd.4gi.zip
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\newapp\newapp.exe
Удаляет следующие файлы
- %TEMP%\svhost.exe
- %APPDATA%\mt0dtajd.4gi\chrome\default\cookies
- %APPDATA%\mt0dtajd.4gi\firefox\profiles\gn7ryp3k.default\cookies.sqlite
- %APPDATA%\mt0dtajd.4gi\opera\cookies
- %APPDATA%\mt0dtajd.4gi\thunderbird\profiles\wjj9aet2.default\cookies.sqlite
- %APPDATA%\mt0dtajd.4gi.zip
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
UDP
- DNS ASK ch#####.amazonaws.com
- DNS ASK ma##.#nnovecera.com
Другое
Создает и запускает на исполнение
- '%TEMP%\svhost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c copy "C:/usxbto/<Имя файла>.exe" "%temp%\FolderN\tata.exe" /Y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%temp%\FolderN\tata.exe.lnk" /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo [zoneTransfer]ZoneID = 2 > %temp%\FolderN\tata.exe:Zone.Identifier' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c copy "C:/Users/user/AppData/Local/Temp/svhost.exe" "%temp%\FolderN\tata.exe" /Y' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\FolderN\tata.exe.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy "C:/usxbto/<Имя файла>.exe" "%temp%\FolderN\tata.exe" /Y
- '%WINDIR%\syswow64\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%temp%\FolderN\tata.exe.lnk" /f
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%TEMP%\FolderN\tata.exe.lnk" /f
- '%WINDIR%\syswow64\cmd.exe' /c echo [zoneTransfer]ZoneID = 2 > %temp%\FolderN\tata.exe:Zone.Identifier
- '%WINDIR%\syswow64\cmd.exe' /c copy "C:/Users/user/AppData/Local/Temp/svhost.exe" "%temp%\FolderN\tata.exe" /Y
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\FolderN\tata.exe.bat
- '%WINDIR%\syswow64\timeout.exe' /t 300
Использует альтернативные потоки данных NTFS
