Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HKCU' = ''
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{71I5564L-441F-IBK8-4KLJ-TSD5J8OL3S0U}] 'StubPath' = '<SYSTEM32>\system32\svchost.exe Restart'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{71I5564L-441F-IBK8-4KLJ-TSD5J8OL3S0U}] 'StubPath' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Policies' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Policies' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HKLM' = ''
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\rwgsf.pif
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Explorer.EXE' = '%WINDIR%\Explorer.EXE:*:Enabled:ipsec'
- <Служебный элемент>
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:ipsec'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- <SYSTEM32>\system32\svchost.exe
Запускает на исполнение:
- %WINDIR%\explorer.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\piwium.exe
- %TEMP%\winwfnafv.exe
- %TEMP%\wingdei.exe
- %TEMP%\winvqju.exe
- %TEMP%\mjvk.exe
- %TEMP%\winvobkhg.exe
- %TEMP%\winanpqqw.exe
- %TEMP%\winwqwvj.exe
- %TEMP%\wingihhj.exe
- %TEMP%\miyq.exe
- %TEMP%\winatnfyf.exe
- %TEMP%\yqka.exe
- %TEMP%\kcmads.exe
- %TEMP%\XxX.xXx
- %TEMP%\UuU.uUu
- <DRIVERS>\hpmkr.sys
- <SYSTEM32>\system32\svchost.exe
- %TEMP%\XX--XX--XX.txt
- %APPDATA%\logs.dat
- C:\autorun.inf
- C:\baxeac.exe
- %TEMP%\winbbnl.exe
- %TEMP%\kgrge.exe
- %TEMP%\winuivxi.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\baxeac.exe
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\rwgsf.pif
- <SYSTEM32>\system32\svchost.exe
- %APPDATA%\logs.dat
- C:\autorun.inf
Удаляет следующие файлы:
- %TEMP%\wingdei.exe
- %TEMP%\miyq.exe
- %TEMP%\winwfnafv.exe
- %TEMP%\winvobkhg.exe
- %TEMP%\piwium.exe
- %TEMP%\winwqwvj.exe
- %TEMP%\wingihhj.exe
- %TEMP%\winanpqqw.exe
- %TEMP%\winatnfyf.exe
- %TEMP%\yqka.exe
- %TEMP%\winbbnl.exe
- %TEMP%\XxX.xXx
- <DRIVERS>\hpmkr.sys
- %TEMP%\XX--XX--XX.txt
- %TEMP%\UuU.uUu
- %TEMP%\winvqju.exe
- %TEMP%\mjvk.exe
- %TEMP%\kcmads.exe
- %TEMP%\kgrge.exe
- %TEMP%\winuivxi.exe
Сетевая активность:
Подключается к:
- 'ad######licigkoftecim.com':80
- 'ri####uno.com.br':80
- 'ac###nfo.co.ma':80
- 'www.aa###uman.com':80
- '68.##8.222.206':80
- 'et##um.com':80
- 'ma###egypt.com':80
- 'co######yrespondalarm.com':80
- 'ab####istan.unas.cz':80
- 'sa####u23.no-ip.org':83
- 'ac####eminsaat.com':80
- 'pi##.org.in':80
- 'ed##uide.ae':80
- 'ni#####tchonline.com':80
TCP:
Запросы HTTP GET:
- www.aa###uman.com/images/s.jpg?59###########
- ad######licigkoftecim.com/images/xs.jpg?58###########
- ri####uno.com.br/logof.gif?58##########
- 68.##8.222.206/logos.gif?5a###########
- et##um.com/images/s.jpg?59###########
- ma###egypt.com/images/logof.gif?59###########
- ac###nfo.co.ma/images/xs.jpg?57###########
- ac####eminsaat.com/xs.jpg?56###########
- co######yrespondalarm.com/images/logo.gif?55###########
- ab####istan.unas.cz/xs.jpg?52###########
- pi##.org.in/images/logof.gif?57##########
- ed##uide.ae/images/xs.jpg?57###########
- ni#####tchonline.com/images/s.jpg?56##########
UDP:
- DNS ASK ad######licigkoftecim.com
- DNS ASK ri####uno.com.br
- DNS ASK ac###nfo.co.ma
- DNS ASK et##um.com
- DNS ASK ma###egypt.com
- DNS ASK www.aa###uman.com
- DNS ASK pi##.org.in
- DNS ASK co######yrespondalarm.com
- DNS ASK ab####istan.unas.cz
- DNS ASK sa####u23.no-ip.org
- DNS ASK ed##uide.ae
- DNS ASK ni#####tchonline.com
- DNS ASK ac####eminsaat.com
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'Proxy Desktop' WindowName: ''
