Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\Currentversion\Run] 'Yrypytqe' = '%APPDATA%\Maxo\ypig.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dwm.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\taskhost.exe
- <SYSTEM32>\rundll32.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль crypt32.dll
- Процесс firefox.exe, модуль crypt32.dll
- Процесс firefox.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKLM>\SOFTWARE\Wow6432Node\FlashFXP\3]
- [<HKCU>\SOFTWARE\Ghisler\Total Commander]
- [<HKCU>\SOFTWARE\Far\Plugins\ftp\hosts]
- [<HKCU>\SOFTWARE\Far2\Plugins\ftp\hosts]
- [<HKCU>\SOFTWARE\martin prikryl\winscp 2\sessions]
- [<HKLM>\SOFTWARE\Wow6432Node\martin prikryl\winscp 2\sessions]
- [<HKCU>\SOFTWARE\ftpware\coreftp\sites]
- [<HKCU>\Software\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\pack_01.rar
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0003.tmp
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0002.tmp
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0001.tmp
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0000.tmp
- %TEMP%\glg207.tmp
- %TEMP%\rd.bat
- %APPDATA%\vaosxi\buol.coe
- %TEMP%\tmp6a2529ab.bat
- %TEMP%\glkc479.tmp
- %TEMP%\nsmc66b.tmp\system.dll
- %APPDATA%\maxo\ypig.exe
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0004.tmp
- %TEMP%\gljc275.tmp
- %TEMP%\glbbff4.tmp
- %TEMP%\nsg9cdb.tmp\system.dll
- %TEMP%\qupodoqoto.dll
- %TEMP%\cayupojupol.dll
- %TEMP%\gebikakaye.dll
- %TEMP%\kufifu.are
- <Текущая директория>\pack_01\svchost.exe
- <Текущая директория>\pack_01\shockwave_installer_slim.exe
- <Текущая директория>\pack_01\cp.bat
- <Текущая директория>\pack_01\bl.vbs
- <Текущая директория>\rar.exe
- %TEMP%\glcc264.tmp
- %TEMP%\ppcrlui_1344_2
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\pack_01.rar
- <Текущая директория>\rar.exe
Удаляет следующие файлы
- <Текущая директория>\pack_01.rar
- <Текущая директория>\rar.exe
- %TEMP%\nsg9cdb.tmp\system.dll
- %TEMP%\gebikakaye.dll
- %TEMP%\cayupojupol.dll
- %TEMP%\qupodoqoto.dll
- %TEMP%\kufifu.are
- %TEMP%\nsmc66b.tmp\system.dll
- <Текущая директория>\pack_01\svchost.exe
- <Текущая директория>\pack_01\cp.bat
- %TEMP%\bl.vbs
- %TEMP%\ppcrlui_1344_2
Перемещает следующие файлы
- <Текущая директория>\pack_01\shockwave_installer_slim.exe в <Текущая директория>\shockwave_installer_slim.exe
- <Текущая директория>\pack_01\bl.vbs в %TEMP%\bl.vbs
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0000.tmp в %WINDIR%\syswow64\adobe\shockwave 11\symcchecker.dll
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0001.tmp в %WINDIR%\syswow64\adobe\shockwave 11\pccuapi.dll
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0002.tmp в %WINDIR%\syswow64\adobe\shockwave 11\gtapi.dll
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0003.tmp в %WINDIR%\syswow64\adobe\shockwave 11\gi.dll
- %WINDIR%\syswow64\adobe\shockwave 11\~glh0004.tmp в %WINDIR%\syswow64\adobe\shockwave 11\gt.exe
- %APPDATA%\vaosxi\buol.coe в %APPDATA%\vaosxi\buol.tmp
Подменяет следующие файлы
- %TEMP%\kufifu.are
- %TEMP%\gebikakaye.dll
- %TEMP%\cayupojupol.dll
- %TEMP%\qupodoqoto.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK microsoft.com
- DNS ASK ra#.#s-cool.com
- DNS ASK ra#.###e-security.asia
Другое
Ищет следующие окна
- ClassName: 'Locakoheneb' WindowName: 'nifumecikol'
- ClassName: 'OutlookExpressHiddenWindow' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\rar.exe' X *.rar -ep1 -p4325r0jsdf0..3dfhgFY5
- '<Текущая директория>\pack_01\svchost.exe'
- '<Текущая директория>\shockwave_installer_slim.exe'
- '%TEMP%\glbbff4.tmp' 4736 <Текущая директория>\SHOCKW~1.EXE
- '%APPDATA%\maxo\ypig.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\bl.vbs" %TEMP%\rd.bat
- '%WINDIR%\syswow64\cmd.exe' /c rar X *.rar -ep1 -p4325r0jsdf0..3dfhgFY5&&pack_01\cp.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\tmp6a2529ab.bat"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\rd.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c rar X *.rar -ep1 -p4325r0jsdf0..3dfhgFY5&&pack_01\cp.bat
- '%WINDIR%\syswow64\attrib.exe' -h pack_01\Shockwave_Installer_Slim.exe
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\tmp6a2529ab.bat"
- '%ProgramFiles%\windows mail\winmail.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\rd.bat" "
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%APPDATA%\maxo\ypig.exe"
