Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe] 'Debugger' = '%WINDIR%\Fonts\sethcs.exe'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\net.exe файлом <SYSTEM32>\dllcache\net.exe.new
- <SYSTEM32>\dllcache\cmd.exe файлом <SYSTEM32>\dllcache\cmd.exe.new
- <SYSTEM32>\dllcache\regedt32.exe файлом <SYSTEM32>\dllcache\regedt32.exe.new
- <SYSTEM32>\dllcache\net1.exe файлом <SYSTEM32>\dllcache\net1.exe.new
- <SYSTEM32>\net.exe файлом <SYSTEM32>\net.exe.new
- <SYSTEM32>\cmd.exe файлом <SYSTEM32>\cmd.exe.new
- <SYSTEM32>\regedt32.exe файлом <SYSTEM32>\regedt32.exe.new
- <SYSTEM32>\net1.exe файлом <SYSTEM32>\net1.exe.new
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\AAA42CAC9DD04AABADDA0E249183A6D5.bat
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\6888122C082846CC9709154869E1DD50.bat
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Microsoft.NET\Framework\v2.0.50727\installutil" "<SYSTEM32>\networkhelp.exe""
- '<SYSTEM32>\cmd.exe' /S /D /c" echo y"
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\9D652239A0C147A39687805333F196B7.bat
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\9A37D27B9E7E42CFBD84A834E1E299D5.bat
- '<SYSTEM32>\net1.exe' user guest QWEasd0856
- '<SYSTEM32>\net1.exe' user guest /active:YES
- '<Текущая директория>\magnifylsass.exe'
- '<SYSTEM32>\networkhelp.exe' -i-
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\66A275FEC8894EC3BDE9CA7D230A819B.bat
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s guest /add
Запускает на исполнение:
- '<SYSTEM32>\cacls.exe' "%WINDIR%\Fonts\sethcs.exe" /t /c /e /g everyone:f
- '<SYSTEM32>\attrib.exe' -r -h -s -a "%WINDIR%\Fonts\sethcs.exe"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' "<SYSTEM32>\networkhelp.exe"
- '<SYSTEM32>\regini.exe' A24860E651AB4C08B244303C61D21955.ini
- '<SYSTEM32>\cacls.exe' "%WINDIR%\Fonts\sethcs.exe" /t /c /g system:r
- '<SYSTEM32>\attrib.exe' -a -r -s -h "magnifylsass.exe"
- '<SYSTEM32>\attrib.exe' +r +h +s +a "%WINDIR%\Fonts\sethcs.exe"
- '<SYSTEM32>\regini.exe' BBC7421DB279477CAC83BA18868CDC3F.ini
- '<SYSTEM32>\cacls.exe' net1.exe /c /e /t /g everyone:f
- '<SYSTEM32>\cacls.exe' regedt32.exe /c /e /t /g everyone:f
- '<SYSTEM32>\cacls.exe' cmd.exe /c /e /t /g everyone:f
- '<SYSTEM32>\cacls.exe' net.exe /c /e /t /g everyone:f
- '<SYSTEM32>\attrib.exe' -a -s -r -h net1.exe
- '<SYSTEM32>\attrib.exe' -a -s -r -h regedt32.exe
- '<SYSTEM32>\attrib.exe' -a -s -r -h cmd.exe
- '<SYSTEM32>\attrib.exe' -a -s -r -h net.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\networkhelp.InstallLog
- <Текущая директория>\InstallUtil.InstallLog
- <Текущая директория>\AAA42CAC9DD04AABADDA0E249183A6D5.bat
- %WINDIR%\Fonts\sethcs.exe
- <Текущая директория>\9D652239A0C147A39687805333F196B7.bat
- <Текущая директория>\9A37D27B9E7E42CFBD84A834E1E299D5.bat
- <Текущая директория>\BBC7421DB279477CAC83BA18868CDC3F.ini
- <Текущая директория>\9bf89250-da00-4477-bbc9-ddcfd941f56b
- <Текущая директория>\magnifylsass.exe
- <Текущая директория>\8f45feb9-1f54-427a-9341-732343062ddc
- <Текущая директория>\66A275FEC8894EC3BDE9CA7D230A819B.bat
- <Текущая директория>\6888122C082846CC9709154869E1DD50.bat
- <Текущая директория>\A24860E651AB4C08B244303C61D21955.ini
- <SYSTEM32>\networkhelp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Fonts\sethcs.exe
Удаляет следующие файлы:
- <Текущая директория>\8f45feb9-1f54-427a-9341-732343062ddc
- <Текущая директория>\A24860E651AB4C08B244303C61D21955.ini
- <Текущая директория>\magnifylsass.exe
- <Текущая директория>\BBC7421DB279477CAC83BA18868CDC3F.ini
- <Текущая директория>\9bf89250-da00-4477-bbc9-ddcfd941f56b
- <SYSTEM32>\net.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\regedt32.exe
- <SYSTEM32>\net1.exe
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\net1.exe.new в <SYSTEM32>\dllcache\net1.exe
- <SYSTEM32>\dllcache\regedt32.exe.new в <SYSTEM32>\dllcache\regedt32.exe
- <SYSTEM32>\dllcache\cmd.exe.new в <SYSTEM32>\dllcache\cmd.exe
- <SYSTEM32>\dllcache\net.exe.new в <SYSTEM32>\dllcache\net.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
