Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\GFile\shell\open\command] '' = '<Текущая директория>\GWebWnd.exe %1'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\SmMgrDaemon] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\SmMgrDaemon] 'ImagePath' = '%ProgramFiles(x86)%\SManager\smmgr.exe'
Создает следующие сервисы
- 'SmMgrDaemon' %ProgramFiles(x86)%\SManager\smmgr.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im smmgr.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\gupdateex.zip
- <Текущая директория>\gfile.exe.tmp
- %ProgramFiles(x86)%\smanager\unins000.dat
- %ProgramFiles(x86)%\smanager\is-m14le.tmp
- %ProgramFiles(x86)%\smanager\is-1gp03.tmp
- %TEMP%\is-b238f.tmp\_isetup\_setup64.tmp
- %TEMP%\is-lvmj4.tmp\smmgr_setup.tmp
- <Текущая директория>\smmgr_setup.exe
- <Текущая директория>\gfile.exe
- <Текущая директория>\smmgr_setup.exe.tmp
- <Текущая директория>\libmgrd.dll.tmp
- <Текущая директория>\login_back.gif
- <Текущая директория>\login_back.gif.tmp
- <Текущая директория>\gfver_update_ex.txt
- <Текущая директория>\gupdate.exe
- <Текущая директория>\sec\wintrustdll.lib
- <Текущая директория>\sec\wintrustdll.dll
- <Текущая директория>\libmgrd.dll
- %TEMP%\gfl.txt
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\smanager\smmgr.exe
Удаляет следующие файлы
- <Текущая директория>\gupdateex.zip
- <Текущая директория>\login_back.gif.tmp
- <Текущая директория>\libmgrd.dll.tmp
- <Текущая директория>\smmgr_setup.exe.tmp
- <Текущая директория>\smmgr_setup.exe
- %TEMP%\is-b238f.tmp\_isetup\_setup64.tmp
- %TEMP%\is-lvmj4.tmp\smmgr_setup.tmp
- <Текущая директория>\gfile.exe.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\smanager\is-1gp03.tmp в %ProgramFiles(x86)%\smanager\unins000.exe
- %ProgramFiles(x86)%\smanager\is-m14le.tmp в %ProgramFiles(x86)%\smanager\smmgr.exe
Подменяет следующие файлы
- <Текущая директория>\gupdateex.zip
- <Текущая директория>\login_back.gif.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://up####.gfile.co.kr/GUpdate/gfver_update_ex.txt
- http://up####.gfile.co.kr/GUpdate/GUpdateEx.zip
- http://up####.gfile.co.kr/GUpdate/login_back.gif
- http://up####.gfile.co.kr/GUpdate/libmgrd.dll
- http://up####.gfile.co.kr/GUpdate/smmgr_setup.exe
- http://up####.gfile.co.kr/GUpdate/gfver_folder.txt
- http://up####.gfile.co.kr/GUpdate/GFile.exe
UDP
- DNS ASK up####.gfile.co.kr
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'GÆÄÀÏ ¾÷µ¥ÀÌÆ®'
- ClassName: '' WindowName: 'GÆÄÀÏ'
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\smmgr_setup.exe' /VERYSILENT /SUPPRESSMSGBOXES
- '%TEMP%\is-lvmj4.tmp\smmgr_setup.tmp' /SL5="$18020E,854412,57856,<Текущая директория>\smmgr_setup.exe" /VERYSILENT /SUPPRESSMSGBOXES
- '<Текущая директория>\gupdate.exe'
- '%ProgramFiles(x86)%\smanager\smmgr.exe'
- '<Текущая директория>\gfile.exe'
- '<Текущая директория>\gfile.exe' -RExec "<Текущая директория>\GFile.exe"
- '<Текущая директория>\smmgr_setup.exe' /VERYSILENT /SUPPRESSMSGBOXES' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "%ProgramFiles(x86)%\SManager\smmgr.exe" /grant Administrators:(OI)(CI)F /T' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "%ProgramFiles(x86)%\SManager\sm.cnf" /grant Administrators:(OI)(CI)F /T' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im smmgr.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im smmgr.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc.exe create SmMgrDaemon binPath= "%ProgramFiles(x86)%\SManager\smmgr.exe" start= auto' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start SmMgrDaemon' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\icacls.exe' "%ProgramFiles(x86)%\SManager\smmgr.exe" /grant Administrators:(OI)(CI)F /T
- '%WINDIR%\syswow64\icacls.exe' "%ProgramFiles(x86)%\SManager\sm.cnf" /grant Administrators:(OI)(CI)F /T
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im smmgr.exe
- '%WINDIR%\syswow64\cmd.exe' /c sc.exe create SmMgrDaemon binPath= "%ProgramFiles(x86)%\SManager\smmgr.exe" start= auto
- '%WINDIR%\syswow64\sc.exe' create SmMgrDaemon binPath= "%ProgramFiles(x86)%\SManager\smmgr.exe" start= auto
- '%WINDIR%\syswow64\cmd.exe' /c net start SmMgrDaemon
- '%WINDIR%\syswow64\net.exe' start SmMgrDaemon
- '%WINDIR%\syswow64\net1.exe' start SmMgrDaemon
- '%WINDIR%\syswow64\cmd.exe' /c
