Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'XO1XADpO01' = '"%TEMP%\FA19.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'F788.exe' = '<SYSTEM32>\F788.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
- %APPDATA%\microsoft\windows\start menu\programs\startup\f788.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\dial.bmp.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\default.bmp.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\dialmap.bmp.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\pmd.cer.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\testcertificate.cer.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\contoso.cer.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\contosoroot.cer.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\testee.cer.id-d0eae9b7.[telegram_@spacedatax].roger
- <Имя диска съемного носителя>:\fi51.doc
- <Имя диска съемного носителя>:\wrar520.exe
- <Имя диска съемного носителя>:\dashborder_192.bmp.id-d0eae9b7.[telegram_@spacedatax].roger
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d47f.tmp
- %APPDATA%\vbuavrv
- %APPDATA%\sfvdhva
- %TEMP%\f43d.exe
- %TEMP%\f788.exe
- %TEMP%\fa19.exe
- %TEMP%\fc3c.exe
- %TEMP%\febc.exe
- <SYSTEM32>\f788.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\f788.exe
- %TEMP%\18d2.exe
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-d0eae9b7.[telegram_@spacedatax].roger
- D:\install.log.id-d0eae9b7.[telegram_@spacedatax].roger
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-d0eae9b7.[telegram_@spacedatax].roger
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\vbuavrv
- %APPDATA%\sfvdhva
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-d0eae9b7.[telegram_@spacedatax].roger
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-d0eae9b7.[telegram_@spacedatax].roger
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://rz####erv437.xyz/desk.exe
- http://rz####erv437.xyz/lkx111.exe
- http://rz####erv437.xyz/lb777.exe
- http://rz####erv437.xyz/socks111.exe
- http://rz####erv437.xyz/tau111.exe
- http://rz####erv437.xyz/tau777.exe
Запросы HTTP POST
- http://at###ot20x.xyz/statweb955/
UDP
- DNS ASK re###at35x.xyz
- DNS ASK de###ot2x.xyz
- DNS ASK at###ot20x.xyz
- DNS ASK rz####erv437.xyz
- DNS ASK bu###ting.co.ug
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\f43d.exe'
- '%TEMP%\f788.exe'
- '%TEMP%\fa19.exe'
- '%TEMP%\fc3c.exe'
- '%TEMP%\febc.exe'
- '%TEMP%\18d2.exe'
- '<SYSTEM32>\cmd.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe'
- '%WINDIR%\syswow64\explorer.exe'
