Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd6750a327938dd1475451a193ca90863' = '"%TEMP%\zzzz.exe" ..'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'd6750a327938dd1475451a193ca90863' = '"%TEMP%\zzzz.exe" ..'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\d6750a327938dd1475451a193ca90863.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\windows update registry.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\zzzz.exe" "zzzz.exe" ENABLE
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Windows Update Registry.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\zzzz.exe
- %TEMP%\metin.exe
- %WINDIR% update registry.exe
- C:\autorun.inf
- D:\windows update registry.exe
- D:\autorun.inf
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\zzzz.exe
- %WINDIR% update registry.exe
- C:\autorun.inf
- D:\windows update registry.exe
- D:\autorun.inf
- <Имя диска съемного носителя>:\windows update registry.exe
- <Имя диска съемного носителя>:\autorun.inf
Сетевая активность
Подключается к
- 'ka######aglar.duckdns.org':4444
UDP
- DNS ASK ka######aglar.duckdns.org
Другое
Создает и запускает на исполнение
- '%TEMP%\metin.exe'
- '%TEMP%\zzzz.exe'
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\zzzz.exe" "zzzz.exe" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Windows Update Registry.exe' (со скрытым окном)
