Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe"'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\dwm.exe"'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe", "C:\MSOCache\A...
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%WINDIR%\AppPatch\WUDFHost.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%ProgramFiles(x86)%\K-Lite Codec Pack\System.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\firefoxf
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\dwmd
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\explorere
- <SYSTEM32>\tasks\system
- <SYSTEM32>\tasks\systems
- <SYSTEM32>\tasks\wudfhostw
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\firefox.exe
- %TEMP%\njzcqz9hxd
- %TEMP%\0mea2qmfdu
- %TEMP%\uwt30vv5qv
- %TEMP%\erespa5ksd
- %TEMP%\ysfcywwlhd
- %TEMP%\gdadd35e0f
- %TEMP%\ysi2hzu7gu
- %TEMP%\zvyjowr4gr
- %TEMP%\maaeidd0df
- %TEMP%\8tanilvw0v
- %TEMP%\dahmxz5tki
- %TEMP%\l5vblmogqw
- %TEMP%\cj7dlemugt
- %TEMP%\hhybi0gqbk
- %TEMP%\2482jfl2t7
- %TEMP%\e13e468ce864f3c08b83d88f943ce5150eb1fcf84.5.2989a5af17f611d82cdb06446a5b18873b53593286
- %ProgramFiles(x86)%\k-lite codec pack\27d1bcfc3c54e0
- %ProgramFiles(x86)%\k-lite codec pack\system.exe
- %WINDIR%\apppatch\480b7989c529f6
- %WINDIR%\apppatch\wudfhost.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\7a0fd90576e088
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\6cb0b6c459d5d3
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\dwm.exe
- C:\msocache\all users\{90140000-0117-0409-1000-0000000ff1ce}-c\access.en-us\0fc223bdacedc3
- %TEMP%\8uvwkc8lmc
- %TEMP%\b0fwn1ndz8
Удаляет следующие файлы
- %TEMP%\2482jfl2t7
- %TEMP%\njzcqz9hxd
- %TEMP%\0mea2qmfdu
- %TEMP%\uwt30vv5qv
- %TEMP%\erespa5ksd
- %TEMP%\ysfcywwlhd
- %TEMP%\gdadd35e0f
- %TEMP%\8uvwkc8lmc
- %TEMP%\ysi2hzu7gu
- %TEMP%\maaeidd0df
- %TEMP%\8tanilvw0v
- %TEMP%\dahmxz5tki
- %TEMP%\l5vblmogqw
- %TEMP%\cj7dlemugt
- %TEMP%\hhybi0gqbk
- %TEMP%\zvyjowr4gr
- %TEMP%\b0fwn1ndz8
Сетевая активность
Подключается к
- '3k#####ufko23092.xyz':80
TCP
Запросы HTTP GET
- http://3k#####ufko23092.xyz/httpsql.php?R9#######################################################################################################################################################...
- http://3k#####ufko23092.xyz/httpsql.php?lZ#######################################################################################################################################################...
UDP
- DNS ASK 3k#####ufko23092.xyz
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\k-lite codec pack\system.exe'
- '%ProgramFiles(x86)%\k-lite codec pack\system.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc MINUTE /mo 12 /tr "'C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONSTART /tr "'%ProgramFiles(x86)%\K-Lite Codec Pack\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ProgramFiles(x86)%\K-Lite Codec Pack\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc MINUTE /mo 11 /tr "'%ProgramFiles(x86)%\K-Lite Codec Pack\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 12 /tr "'%WINDIR%\AppPatch\WUDFHost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONSTART /tr "'%WINDIR%\AppPatch\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%WINDIR%\AppPatch\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc MINUTE /mo 5 /tr "'%WINDIR%\AppPatch\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 10 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\K-Lite Codec Pack\System.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONSTART /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc MINUTE /mo 14 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwmd" /sc MINUTE /mo 13 /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\dwm.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONSTART /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONSTART /tr "'C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0117-0409-1000-0000000FF1CE}-C\Access.en-us\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\'
