Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Machin_Updaters' = 'c:\$Recycle.Bin\RCRU_64.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Machin_Update' = 'c:\$Recycle.Bin\RCRU_64.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\desktopini.exe
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\read_me!_.txt
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\pmd.cer
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
удаляет теневые копии разделов.
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable
- '%WINDIR%\syswow64\taskkill.exe' /im mysqld.exe
- '%WINDIR%\syswow64\taskkill.exe' /im mysqld-nt.exe
- '%WINDIR%\syswow64\taskkill.exe' /im mysqld-opt.exe
- '%WINDIR%\syswow64\taskkill.exe' /im dbeng50.exe
- '%WINDIR%\syswow64\taskkill.exe' /im sqbcoreservice.exe
- '%WINDIR%\syswow64\taskkill.exe' /im excel.exe
- '%WINDIR%\syswow64\taskkill.exe' /im infopath.exe
- '%WINDIR%\syswow64\taskkill.exe' /im msaccess.exe
- '%WINDIR%\syswow64\taskkill.exe' /im mspub.exe
- '%WINDIR%\syswow64\taskkill.exe' /im onenote.exe
- '%WINDIR%\syswow64\taskkill.exe' /im outlook.exe
- '%WINDIR%\syswow64\taskkill.exe' /im powerpnt.exe
- '%WINDIR%\syswow64\taskkill.exe' /im steam.exe
- '%WINDIR%\syswow64\taskkill.exe' /im thebat.exe
- '%WINDIR%\syswow64\taskkill.exe' /im thebat64.exe
- '%WINDIR%\syswow64\taskkill.exe' /im thunderbird.exe
- '%WINDIR%\syswow64\taskkill.exe' /im visio.exe
- '%WINDIR%\syswow64\taskkill.exe' /im ocomm.exe
- '%WINDIR%\syswow64\taskkill.exe' /im winword.exe
- '%WINDIR%\syswow64\taskkill.exe' /im tbirdconfig.exe
- '%WINDIR%\syswow64\taskkill.exe' /im encsvc.exe
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule group="Network Discovery" new enable=Yes
- '%WINDIR%\syswow64\taskkill.exe' /im notepad.exe
- '%WINDIR%\syswow64\taskkill.exe' /im msftesql.exe
- '%WINDIR%\syswow64\taskkill.exe' /im sqlagent.exe
- '%WINDIR%\syswow64\taskkill.exe' /im sqlbrowser.exe
- '%WINDIR%\syswow64\taskkill.exe' /im sqlservr.exe
- '%WINDIR%\syswow64\taskkill.exe' /im sqlwriter.exe
- '%WINDIR%\syswow64\taskkill.exe' /im oracle.exe
- '%WINDIR%\syswow64\taskkill.exe' /im ocssd.exe
- '%WINDIR%\syswow64\taskkill.exe' /im dbsnmp.exe
- '%WINDIR%\syswow64\taskkill.exe' /im synctime.exe
- '%WINDIR%\syswow64\taskkill.exe' /im agntsvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /im mydesktopqos.exe
- '%WINDIR%\syswow64\taskkill.exe' /im isqlplussvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /im xfssvccon.exe
- '%WINDIR%\syswow64\taskkill.exe' /im mydesktopservice.exe
- '%WINDIR%\syswow64\taskkill.exe' /im ocautoupds.exe
- '%WINDIR%\syswow64\taskkill.exe' /im firefoxconfig.exe
- '%WINDIR%\syswow64\taskkill.exe' /im wordpad.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\appdata\pagesfilo.sys
- C:\read_me!_.txt
- D:\read_me!_.txt
- C:\$recycle.bin\read_me!_.txt
- C:\$recycle.bin\rcru_64.exe
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\read_me!_.txt
Изменяет следующие файлы
- D:\install.log
- <Имя диска съемного носителя>:\delete.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\coffee.bmp
- <Имя диска съемного носителя>:\toolbar.bmp
- <Имя диска съемного носителя>:\contosoroot.cer
- <Имя диска съемного носителя>:\contoso_1.cer
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\testcertificate.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
Сетевая активность
Подключается к
- '12#.#3.179.200':8080
UDP
- DNS ASK re#####r1.opendns.com
- DNS ASK 22#.###.67.208.in-addr.arpa
- DNS ASK my##.#pendns.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f&vssadmin.exe Delete Shadows /All /Quiet&wmic shadowcopy delete&netsh advfirewall ...
- '%WINDIR%\syswow64\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im notepad.exe&taskkill /im msftesql.exe&taskkill /im sqlagent.exe&taskkill /im sqlbrowser.exe&taskkill /im sqlservr.exe&taskkill /im sqlwriter.exe&taskkill /im oracle.exe&taskkill...
- '%WINDIR%\syswow64\cmd.exe' /c echo %date%-%time%
- '%WINDIR%\syswow64\cmd.exe' /c ver
- '%WINDIR%\syswow64\cmd.exe' /c nslookup myip.opendns.com. resolver1.opendns.com
- '%WINDIR%\syswow64\nslookup.exe' myip.opendns.com. resolver1.opendns.com
- '%WINDIR%\syswow64\cmd.exe' /c reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Update /f® delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Update /f
- '%WINDIR%\syswow64\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Update /f
- '%WINDIR%\syswow64\reg.exe' delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Update /f
- '%WINDIR%\syswow64\cmd.exe' /c reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Updaters /t REG_SZ /d c:\$Recycle.Bin\RCRU_64.exe /f® add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\...
- '%WINDIR%\syswow64\reg.exe' add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Updaters /t REG_SZ /d c:\$Recycle.Bin\RCRU_64.exe /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v Machin_Update /t REG_SZ /d c:\$Recycle.Bin\RCRU_64.exe /f
