Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im miniperl.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im httpd.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im mysqld.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ollydbg.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im HttpAnalyzerStdV7.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im HttpAnalyzerStdV6.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im Charles.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im wirwshark.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im dede.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ida.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SND.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SND 2.2.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im SystemExplorer.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im lsassc.exe
Изменения в файловой системе
Создает следующие файлы
- C:\commonfiles\glaryutilities\fat32.bat
- C:\commonfiles\glaryutilities\lsassc.exe
- C:\commonfiles\glaryutilities\run.vbs
- C:\commonfiles\glaryutilities\glary.vbs
- C:\commonfiles\glaryutilities\setglary.sys
- C:\commonfiles\glaryutilities\ava.bat
- C:\commonfiles\glaryutilities\loso.vbs
- C:\commonfiles\glaryutilities\cnm.js
- %TEMP%\gloryutils.exe
- C:\commonfiles\glaryutilities\dbg.txt
Удаляет следующие файлы
- C:\commonfiles\glaryutilities\glary.vbs
- C:\commonfiles\glaryutilities\run.vbs
- C:\commonfiles\glaryutilities\cnm.js
- C:\commonfiles\glaryutilities\lsassc.exe
- C:\commonfiles\glaryutilities\loso.vbs
- C:\commonfiles\glaryutilities\win.rar
Перемещает следующие файлы
- C:\commonfiles\glaryutilities\setglary.sys в C:\commonfiles\glaryutilities\win.rar
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_traywnd' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\CommonFiles\GlaryUtilities\glary.vbs" /f=CREATE_NO_WINDOW install.cmd
- 'C:\commonfiles\glaryutilities\lsassc.exe' e -pControl win.rar
- '%WINDIR%\syswow64\wscript.exe' "C:\CommonFiles\GlaryUtilities\loso.vbs"
- '%WINDIR%\syswow64\wscript.exe' "C:\CommonFiles\GlaryUtilities\cnm.js" /start
- '%TEMP%\gloryutils.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\CommonFiles\GlaryUtilities\fat32.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\CommonFiles\GlaryUtilities\ava.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\CommonFiles\GlaryUtilities\fat32.bat" "
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\syswow64\timeout.exe' 5
- '%WINDIR%\syswow64\timeout.exe' 4
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\CommonFiles\GlaryUtilities\ava.bat" "
- '%WINDIR%\syswow64\attrib.exe' +s +h "C:\CommonFiles\GlaryUtilities"
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\timeout.exe' 2
- '%WINDIR%\syswow64\attrib.exe' -s -h "C:\CommonFiles\GlaryUtilities\cnm.js"
