Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'recovery' = '<SYSTEM32>\svcippptp.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'recovery' = '<SYSTEM32>\svcippptp.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components\{22d7f312-b0f6-11d2-94ab-0080c33c7e95}] 'StubPath' = 'rundll32.exe <SYSTEM32>\themeuichk.dll,ThemesSetupInstallCheck'
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [<HKCU>\Software\RIT\The Bat!]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Far\Plugins\FTP\Hosts]
- [<HKCU>\Software\Far2\Plugins\FTP\Hosts]
- [<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\application data\thunderbird\profiles.ini
- %HOMEPATH%\application data\mozilla\firefox\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\lsapptpnet.exe
- %WINDIR%\syswow64\svcippptp.exe
- %TEMP%\3f93c162-239a-4a4f-8c4f-25a43630c159
- %WINDIR%\syswow64\mspdbip.ocx
- %WINDIR%\syswow64\poolcmsctf.exe
- %WINDIR%\syswow64\ipmsinfo.exe
- %TEMP%\6a433128-1e77-43bf-bd92-5d7dea77585c
- %WINDIR%\syswow64\ctfpoolpptp.exe
- %TEMP%\bff11159-53ba-40aa-b51e-bd67acd9af9a
- %TEMP%\1.tmp.cmd
- %TEMP%\smss.exe
- %TEMP%\win5.tmp
Удаляет следующие файлы
- %TEMP%\pptpmsdhcp.exe
- %TEMP%\win5.tmp
Перемещает следующие файлы
- %TEMP%\3f93c162-239a-4a4f-8c4f-25a43630c159 в %TEMP%\advsec32.dll
- %TEMP%\6a433128-1e77-43bf-bd92-5d7dea77585c в %WINDIR%\syswow64\themeuichk.dll
- %TEMP%\bff11159-53ba-40aa-b51e-bd67acd9af9a в %TEMP%\pptpmsdhcp.exe
Сетевая активность
Подключается к
- '82.##6.47.163':21
- '83.##9.74.73':80
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\pptpmsdhcp.exe'
- '%TEMP%\smss.exe' 127.1 -n 5
- '%TEMP%\pptpmsdhcp.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\1.tmp.cmd "%TEMP%\PPTPMS~1.EXE""' (со скрытым окном)
- '%WINDIR%\syswow64\regedit.exe' /s %TEMP%\win5.tmp' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "%TEMP%\1.tmp.cmd "%TEMP%\PPTPMS~1.EXE""
- '%WINDIR%\syswow64\attrib.exe' -s -h "%TEMP%\PPTPMS~1.EXE"
- '%WINDIR%\syswow64\regedit.exe' /s %TEMP%\win5.tmp
