Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'drvsyskit' = '%APPDATA%\drivers\winupgro.exe'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\111111s1ro1s1a] 'Start' = '00000001'
- [<HKLM>\System\CurrentControlSet\Services\111111s1ro1s1a] 'ImagePath' = '%APPDATA%\drivers\111wfs1intwq.sys'
Создает следующие сервисы
- '111111s1ro1s1a' %APPDATA%\drivers\111wfs1intwq.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Межсетевой экран (Брандмауэр Windows)
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\drivers\winupgro.exe
- %APPDATA%\drivers\11s11ro1s1a2.sys
- %APPDATA%\drivers\111wfs1intwq.sys
- %WINDIR%\temp\uddb73d.tmp
- %APPDATA%\drivers\downld\1166403.exe
- %APPDATA%\drivers\downld\1168182.exe
- %APPDATA%\drivers\downld\1168197.exe
- %APPDATA%\drivers\downld\1215544.exe
- %APPDATA%\drivers\downld\1217416.exe
- %APPDATA%\drivers\downld\1218196.exe
- %APPDATA%\drivers\downld\1219553.exe
- %APPDATA%\drivers\downld\1220692.exe
- %APPDATA%\drivers\downld\1221207.exe
- %APPDATA%\drivers\downld\1223937.exe
- %APPDATA%\drivers\downld\1224763.exe
- %APPDATA%\drivers\downld\1225216.exe
Удаляет следующие файлы
- %WINDIR%\temp\uddb73d.tmp
Сетевая активность
Подключается к
- 'google.com':80
TCP
Запросы HTTP GET
- http://ab##erm.sk/xyz.php?cr#####
- http://ad##.net/xyz.php?cr#####
- http://al#####anciarural.es/xyz.php?cr#####
- http://au####uzynas.net/xyz.php?cr#####
- http://au#####.autogidas.lt/xyz.php?cr#####
- http://st####.rapidssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRhhZrQET0hvbSHUJmNfBKqR%2FiT7wQUU8oXWfxrwAMhLxqu5KqoHIJW2nUCEAZ1m1oTqmHE5W47V3DgTHI%3D
- http://cd#.##pidssl.com/RapidSSLRSACA2018.crl
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://az###.700megs.com/xyz.php?cr#####
- http://ww#.###re.700megs.com/xyz.php?cr###############################################
- http://az###.gbs.me/xyz.php?cr#####
- http://ww##.gbs.me/?td###########################################################################################################################################################################...
- http://ba###estate.com/xyz.php?cr#####
- http://bi###yorsan.com/xyz.php?cr#####
- http://ca###vuoi.com/xyz.php?cr#####
- http://ch####terario.com/xyz.php?cr#####
UDP
- DNS ASK google.com
- DNS ASK cd###arket.it
- DNS ASK ca###vuoi.com
- DNS ASK bi###yorsan.com
- DNS ASK bi#######elixna.altervista.org
- DNS ASK ba###estate.com
- DNS ASK ba####.110mb.com
- DNS ASK ww##.gbs.me
- DNS ASK az###.gbs.me
- DNS ASK ww#.###re.700megs.com
- DNS ASK az###.700megs.com
- DNS ASK ch####terario.com
- DNS ASK microsoft.com
- DNS ASK st####.rapidssl.com
- DNS ASK au#####.autogidas.lt
- DNS ASK au####uzynas.net
- DNS ASK ar##.com.ve
- DNS ASK ap###odas.org
- DNS ASK an#####eventos.com.ar
- DNS ASK al#####anciarural.es
- DNS ASK ah#####nicekesan.com
- DNS ASK ad##.net
- DNS ASK ab##erm.sk
- DNS ASK cd#.##pidssl.com
- DNS ASK ci##.com.br
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
- ClassName: 'AavmMessageClass' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\drivers\winupgro.exe'
- '%APPDATA%\drivers\winupgro.exe' ' (со скрытым окном)
