Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\Kozarstvo\OvceKoze.exe' = 'C:\Kozarstvo\OvceKoze.exe:*:Enabled:Ovce_Koze'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] 'C:\Kozarstvo\OvceKoze.exe' = 'C:\Kozarstvo\OvceKoze.exe:*:Enabled:Ovce_Koze'
Создает и запускает на исполнение:
- C:\Kozarstvo\OvceKoze.exe
- %TEMP%\1.tmp\Kozarstvo.exe
Запускает на исполнение:
- <SYSTEM32>\xcopy.exe /y c:\Kozarstvo\OvceKoze.lnk %HOMEPATH%\Desktop\
- <SYSTEM32>\netsh.exe firewall add allowedprogram program="C:\Kozarstvo\OvceKoze.exe" name="Ovce_Koze" profile=all
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\instalacija_ovko.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- C:\Kozarstvo\BmpGifJpg\ovce\Ovca.bmp
- C:\Kozarstvo\BmpGifJpg\ovce\Ovca.ico
- C:\Kozarstvo\BmpGifJpg\ovce\Thumbs.db
- C:\Kozarstvo\BmpGifJpg\ovce\images2.jpg
- C:\Kozarstvo\BmpGifJpg\ovce\images3.jpg
- C:\Kozarstvo\BmpGifJpg\ovce\images4.jpg
- C:\Kozarstvo\BmpGifJpg\rename32.gif
- C:\Kozarstvo\BmpGifJpg\select32.gif
- C:\Kozarstvo\BmpGifJpg\Shred32a.gif
- C:\Kozarstvo\BmpGifJpg\Pozadina1.jpg
- C:\Kozarstvo\BmpGifJpg\prop32a.gif
- C:\Kozarstvo\BmpGifJpg\RecyclePro.gif
- C:\Kozarstvo\BmpGifJpg\ovce\images1.jpg
- C:\Kozarstvo\BmpGifJpg\nv2002y.gif
- C:\Kozarstvo\BmpGifJpg\Ovca.ico
- C:\Kozarstvo\BmpGifJpg\ovce\CA8M1UOK.jpg
- C:\Kozarstvo\BmpGifJpg\nv1002.gif
- C:\Kozarstvo\BmpGifJpg\nv1002y.gif
- C:\Kozarstvo\BmpGifJpg\nv2002.gif
- C:\Kozarstvo\BmpGifJpg\ovce\CAQ303LQ.jpg
- C:\Kozarstvo\BmpGifJpg\ovce\goat_dom_angora_2c.gif
- C:\Kozarstvo\BmpGifJpg\ovce\images.jpg
- C:\Kozarstvo\BmpGifJpg\ovce\CALCOLW2.jpg
- C:\Kozarstvo\BmpGifJpg\ovce\CALCOLW2.jpg.ICO
- C:\Kozarstvo\BmpGifJpg\ovce\CAO9YVW1.jpg
- C:\Kozarstvo\Koze_Nova.dsn
- C:\Kozarstvo\Ne.gif
- C:\Kozarstvo\ovca.jpg
- C:\Kozarstvo\Da.gif
- C:\Kozarstvo\Koza.jpg
- C:\Kozarstvo\Koze_Loc.dsn
- C:\Kozarstvo\Ovce_Nova.dsn
- C:\Kozarstvo\Ovko.dsn
- C:\Kozarstvo\OvceKoze.exe
- C:\Kozarstvo\OvceKoze.lnk
- C:\Kozarstvo\Ovce_Loc.dsn
- C:\Kozarstvo\BmpGifJpg\_active_ Yes.bmp
- C:\Kozarstvo\BmpGifJpg\Thumbs.db
- C:\Kozarstvo\BmpGifJpg\top.WMF
- C:\Kozarstvo\BmpGifJpg\Top1.WMF
- C:\Kozarstvo\BmpGifJpg\silent48x48.gif
- C:\Kozarstvo\BmpGifJpg\silent48x48r.gif
- C:\Kozarstvo\BmpGifJpg\Sort32.gif
- C:\Kozarstvo\BmpGifJpg\zaba[1].gif
- C:\Kozarstvo\BmpGifJpg\zip32.gif
- C:\Kozarstvo\BmpGifJpg\_active_ No.bmp
- C:\Kozarstvo\BmpGifJpg\trash03.gif
- C:\Kozarstvo\BmpGifJpg\vault.gif
- C:\Kozarstvo\BmpGifJpg\vault1a.gif
- C:\Kozarstvo\BmpGifJpg\neoup2.gif
- C:\Kozarstvo\BmpGifJpg\capsulaup.gif
- C:\Kozarstvo\BmpGifJpg\CHLLKBRD.WMF
- C:\Kozarstvo\BmpGifJpg\Copy32.gif
- C:\Kozarstvo\BmpGifJpg\button48.gif
- C:\Kozarstvo\BmpGifJpg\button48r.gif
- C:\Kozarstvo\BmpGifJpg\capsulahover.gif
- C:\Kozarstvo\BmpGifJpg\HSC_Grb.JPG
- C:\Kozarstvo\BmpGifJpg\HSSC-Logo.jpg
- C:\Kozarstvo\BmpGifJpg\Jarac.jpg
- C:\Kozarstvo\BmpGifJpg\Copy32Eq.gif
- C:\Kozarstvo\BmpGifJpg\Copy32Move.gif
- C:\Kozarstvo\BmpGifJpg\dollar.gif
- C:\Kozarstvo\BmpGifJpg\button36up.gif
- C:\Kozarstvo\BmpGifJpg\2.gif
- C:\Kozarstvo\BmpGifJpg\asfsda.ico
- C:\Kozarstvo\BmpGifJpg\bms36x36.gif
- %TEMP%\1.tmp\instalacija_ovko.bat
- %TEMP%\1.tmp\Kozarstvo.exe
- C:\Kozarstvo\BmpGifJpg\1.gif
- C:\Kozarstvo\BmpGifJpg\Button1.gif
- C:\Kozarstvo\BmpGifJpg\Button2.gif
- C:\Kozarstvo\BmpGifJpg\button36hover.gif
- C:\Kozarstvo\BmpGifJpg\bms36x36r.gif
- C:\Kozarstvo\BmpGifJpg\bms48x48.gif
- C:\Kozarstvo\BmpGifJpg\bms48x48r.gif
- C:\Kozarstvo\BmpGifJpg\mps_grb.JPG
- C:\Kozarstvo\BmpGifJpg\My Pictures.rar
- C:\Kozarstvo\BmpGifJpg\neo48x48.gif
- C:\Kozarstvo\BmpGifJpg\Koze\CAY4AZA3.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\Thumbs.db
- C:\Kozarstvo\BmpGifJpg\Move32.gif
- C:\Kozarstvo\BmpGifJpg\neocolour48x48.gif
- C:\Kozarstvo\BmpGifJpg\neocolour48x48r.gif
- C:\Kozarstvo\BmpGifJpg\neohover2.gif
- C:\Kozarstvo\BmpGifJpg\neo48x48r.gif
- C:\Kozarstvo\BmpGifJpg\neocolour36x36.gif
- C:\Kozarstvo\BmpGifJpg\neocolour36x36r.gif
- C:\Kozarstvo\BmpGifJpg\Koze\CASXILQT.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CA8GWIO2.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAA3S5QR.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAIIIFII.jpg
- C:\Kozarstvo\BmpGifJpg\Koza.ico
- C:\Kozarstvo\BmpGifJpg\Koze\CA2TADQR.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CA67HEZ6.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAMJQBID.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAS90HOB.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CASP5IBY.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAIX25WT.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAKTUR4T.jpg
- C:\Kozarstvo\BmpGifJpg\Koze\CAMB4TMV.jpg
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Kozarstvo\BmpGifJpg\Thumbs.db
- C:\Kozarstvo\BmpGifJpg\ovce\Thumbs.db
- C:\Kozarstvo\BmpGifJpg\Koze\Thumbs.db
Сетевая активность:
Подключается к:
- 'kr###.hpa.hr':21
- 'localhost':1037
UDP:
- DNS ASK kr###.hpa.hr
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
