Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'GMVKhmZCF' = '%APPDATA%\osk.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Update Assistant' = '"%APPDATA%\winupas.exe" *'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\я
- <Имя диска съемного носителя>:\fungalnameauthors.rtf
- <Имя диска съемного носителя>:\20140114.rdf
- <Имя диска съемного носителя>:\elvisimp.rdf
- <Имя диска съемного носителя>:\foaf.rdf
- <Имя диска съемного носителя>:\iso27k_isms_implementation_and_certification_process_overview_v2.pptx
- <Имя диска съемного носителя>:\middaugh_keynote.pptx
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt
- <Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt
- <Имя диска съемного носителя>:\proposaltemplates.ppt
- <Имя диска съемного носителя>:\accountsreceivable.ppt
- <Имя диска съемного носителя>:\myhrvoldhanssenbiharfamine.rtf
- <Имя диска съемного носителя>:\mappingconcepthubberlin.ppt
- <Имя диска съемного носителя>:\bg_search_box.png
- <Имя диска съемного носителя>:\calibre.png
- <Имя диска съемного носителя>:\cbz.png
- <Имя диска съемного носителя>:\dissolveanother.png
- <Имя диска съемного носителя>:\tunpersonalca1.pem
- <Имя диска съемного носителя>:\irgeek.pem
- <Имя диска съемного носителя>:\delongcacert.pem
- <Имя диска съемного носителя>:\server.pem
- <Имя диска съемного носителя>:\file1.ppt
- <Имя диска съемного носителя>:\210252809.jpeg
- <Имя диска съемного носителя>:\static_electricity_easy_and_quick_activities.rtf
- <Имя диска съемного носителя>:\price.zip
- <Имя диска съемного носителя>:\subjectclassification.zip
- <Имя диска съемного носителя>:\1sm_price.zip
- <Имя диска съемного носителя>:\productos.zip
- <Имя диска съемного носителя>:\excel_example.zip
- <Имя диска съемного носителя>:\removedtitles_records.zip
- <Имя диска съемного носителя>:\2013_finalsummaryforweb.xlsx
- <Имя диска съемного носителя>:\2013_smccc_competition_points_jul2013.xlsx
- <Имя диска съемного носителя>:\applicant.xlsx
- <Имя диска съемного носителя>:\suspendedcompanies.xlsx
- <Имя диска съемного носителя>:\investmentbankca_ca8.pem
- <Имя диска съемного носителя>:\krsweden.rtf
- <Имя диска съемного носителя>:\al.xlsx
- <Имя диска съемного носителя>:\disclosuredetails.xlsx
- <Имя диска съемного носителя>:\removedtitles_records.xls
- <Имя диска съемного носителя>:\excel_example.xls
- <Имя диска съемного носителя>:\calculatorworksheet.xls
- <Имя диска съемного носителя>:\flower_trans_matte.wmv
- <Имя диска съемного носителя>:\babyboymaintoscenesbackground_pal.wmv
- <Имя диска съемного носителя>:\passport_pal.wmv
- <Имя диска съемного носителя>:\phytoremediation.rtf
- <Имя диска съемного носителя>:\military_callsigns_0311.rtf
- <Имя диска съемного носителя>:\cee_mmsprogram_summary_public.xlsx
- <Имя диска съемного носителя>:\pubnet_855.rtf
- <Имя диска съемного носителя>:\2015-02-worms-nanoparticle-toxicity.pdf
- <Имя диска съемного носителя>:\video.mp4
- <Имя диска съемного носителя>:\51.mp4
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.cer
- <Имя диска съемного носителя>:\holycrosschurchinstructions.docx
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.docx
- <Имя диска съемного носителя>:\nwfieldnotes1966.docx
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\508softwareandos.doc
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\contractualdeadlines.zip
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\default.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\dashborder_144.bmp
- <Имя диска съемного носителя>:\dialmap.bmp
- <Имя диска съемного носителя>:\correct.avi
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\how to recover encrypted files.txt
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\contoso.cer
- <Имя диска съемного носителя>:\highly_cited_2001.xlsx
- <Имя диска съемного носителя>:\tree_view.htm
- <Имя диска съемного носителя>:\about.html
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.mp4
- <Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.mp4
- <Имя диска съемного носителя>:\etc6_m_1.mov
- <Имя диска съемного носителя>:\scan.mov
- <Имя диска съемного носителя>:\spanner.mov
- <Имя диска съемного носителя>:\3.jpg
- <Имя диска съемного носителя>:\region-north-karelia.jpg
- <Имя диска съемного носителя>:\parnas_01.jpg
- <Имя диска съемного носителя>:\4f0bf7ff71f28.jpg
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\2.jpg
- <Имя диска съемного носителя>:\adhd_and_obesity.docx
- <Имя диска съемного носителя>:\3.jpeg
- <Имя диска съемного носителя>:\2.jpeg
- <Имя диска съемного носителя>:\pushkin.jpeg
- <Имя диска съемного носителя>:\region-north-karelia.jpeg
- <Имя диска съемного носителя>:\howto-index.html
- <Имя диска съемного носителя>:\alert.html
- <Имя диска съемного носителя>:\browse.html
- <Имя диска съемного носителя>:\ituneshelpunavailable.html
- <Имя диска съемного носителя>:\trivial-merge.html
- <Имя диска съемного носителя>:\parnas_01.jpeg
- <Имя диска съемного носителя>:\calculatorworksheet.zip
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\osk.exe
- %TEMP%\$tmp$001.exe
- %APPDATA%\winupas.exe
Удаляет следующие файлы
- %APPDATA%\osk.exe
- <Имя диска съемного носителя>:\я
Изменяет следующие файлы
- <Имя диска съемного носителя>:\jvpat=dkk65t5wueq9leuynvoay.200
- <Имя диска съемного носителя>:\vzvscgyfdphnpftpusmcvq.200
- <Имя диска съемного носителя>:\1yuyez1axm0eanuoueh53vntlgnwp1yd=xnuc45dxbirrhf0rxl8yaxgq2o.200
- <Имя диска съемного носителя>:\immguxiq033s4he3lc7wf8uukh67bk.200
- <Имя диска съемного носителя>:\6ozy4ff2kkqhkfjjyqdhq4xfhorfxq.200
Подменяет следующие файлы
- %APPDATA%\osk.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'ip###ger.org':80
- 'ip###ger.org':443
- 'oc##.#ectigo.com':80
TCP
Другие
- 'ip###ger.org':443
UDP
- DNS ASK ip###ger.org
- DNS ASK oc##.#ectigo.com
Другое
Ищет следующие окна
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\$tmp$001.exe'
- '%APPDATA%\winupas.exe' *
- '%WINDIR%\syswow64\cmd.exe' /c copy /y "<Полный путь к файлу>" "%APPDATA%\osk.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('<Имя файла>.exe');close()}catch(e){}},10);"' (со скрытым окном)
- '%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('osk.exe').Path;o.RegWrite('HKCU\\Software\\Microsoft\\...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c copy "%TEMP%\$TMP$001.exe" "%APPDATA%\winupas.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Windows Update Assistant" /t REG_SZ /F /D "\"%APPDATA%\winupas.exe\" *" ...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy /y "<Полный путь к файлу>" "%APPDATA%\osk.exe"
- '%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('<Имя файла>.exe');close()}catch(e){}},10);"
- '%WINDIR%\syswow64\mshta.exe' "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('osk.exe').Path;o.RegWrite('HKCU\\Software\\Microsoft\\...
- '%WINDIR%\syswow64\cmd.exe' /c copy "%TEMP%\$TMP$001.exe" "%APPDATA%\winupas.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Windows Update Assistant" /t REG_SZ /F /D "\"%APPDATA%\winupas.exe\" *" ...
- '%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Windows Update Assistant" /t REG_SZ /F /D "\"%APPDATA%\winupas.exe\" *"
