Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\software\Wow6432Node\microsoft\windows\currentversion\Policies\Explorer\Run] '40697' = '%ProgramFiles%\locals~1\Temp\msvuow.bat'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
- %WINDIR%\explorer.exe
- %WINDIR%\syswow64\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
- Процесс iexplore.exe, модуль wininet.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Wow6432Node\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d47f.tmp
- %TEMP%\b6d8.tmp-shm
- %TEMP%\b6d8.tmp
- %TEMP%\b6c7.tmp
- %TEMP%\b6b7.tmp
- %TEMP%\b6a6.tmp
- %TEMP%\b6a5.tmp
- %TEMP%\b694.tmp
- %TEMP%\b693.tmp
- %TEMP%\b673.tmp
- %TEMP%\b672.tmp
- %TEMP%\b5f4.tmp
- %TEMP%\b5f3.tmp
- %TEMP%\b5e2.tmp
- %TEMP%\b5c2.tmp
- %APPDATA%\runtime\runtime.exe
- %TEMP%\b1f8.tmp
- %TEMP%\b1c9.tmp
- %ProgramFiles%\locals~1\temp\msvuow.bat
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %TEMP%\9be2.tmp.exe
- %TEMP%\657f.tmp.exe
- %TEMP%\5bf9.tmp.dll
- %TEMP%\4023.dll
- %TEMP%\4023.tmp.exe
- %APPDATA%\wjwfuuu
- %APPDATA%\uthvfew
- %APPDATA%\ugrgarj
- %TEMP%\b1c9.tmp-shm
- %APPDATA%\runtime\runtime.exe:zoneidentifier
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ugrgarj
- %APPDATA%\uthvfew
- %APPDATA%\wjwfuuu
Удаляет следующие файлы
- %TEMP%\b1c9.tmp-shm
- %TEMP%\b6c7.tmp
- %TEMP%\b6b7.tmp
- %TEMP%\b6a6.tmp
- %TEMP%\b6a5.tmp
- %TEMP%\b694.tmp
- %TEMP%\b693.tmp
- %TEMP%\b6d8.tmp-shm
- %TEMP%\b673.tmp
- %TEMP%\b5f4.tmp
- %TEMP%\b5f3.tmp
- %TEMP%\b5e2.tmp
- %TEMP%\b5c2.tmp
- %TEMP%\b1f8.tmp
- %TEMP%\b1c9.tmp
- %TEMP%\b672.tmp
- %TEMP%\b6d8.tmp
Самоудаляется.
Сетевая активность
Подключается к
- '11#.#9.242.3':443
- 'kx###tm950.club':80
- '73.#8.92.89':443
TCP
Запросы HTTP GET
- http://www.bl###pace14.com/logweb77/?fr####
- http://www.ad###rv48.club/logweb77/?fr####
- http://sx#####serv19fd4.club/dan777.exe
- http://sx#####serv19fd4.club/dan777.dll
- http://sx#####serv19fd4.club/exibel.exe
- http://sx#####serv19fd4.club/gs.exe
Запросы HTTP POST
- http://bl###pace14.com/logweb77/
- http://ad###rv48.club/logweb77/
- http://kx###tm950.club/logweb77/
UDP
- DNS ASK bl###pace14.com
- DNS ASK ad###rv48.club
- DNS ASK kx###tm950.club
- DNS ASK sx#####serv19fd4.club
- DNS ASK ma###ery.club
Другое
Ищет следующие окна
- ClassName: 'F422E2C3' WindowName: 'F422E2C3'
Создает и запускает на исполнение
- '%TEMP%\4023.tmp.exe'
- '%TEMP%\657f.tmp.exe'
- '%TEMP%\9be2.tmp.exe'
- '%APPDATA%\runtime\runtime.exe' 1 "%TEMP%\657F.tmp.exe" 11EE35
- '%APPDATA%\runtime\runtime.exe'
- '%WINDIR%\syswow64\regsvr32.exe' -s %TEMP%\4023.dll f1 %TEMP%\4023TM~1.EXE@2552' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\4023.dll,f0' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\5BF9.tmp.dll,f0' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' -s %TEMP%\4023.dll f1 %TEMP%\4023TM~1.EXE@2552
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\4023.dll,f0
- '<SYSTEM32>\regsvr32.exe' /s %TEMP%\5BF9.tmp.dll
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\5BF9.tmp.dll,f0
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\explorer.exe'
