Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'winlogon' = '"C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"<SYSTEM32>\uicom\lsass.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"<SYSTEM32>\d3dx10_33\csrss.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"<SYSTEM32>\api-ms-win-crt-locale-l1-1-0\wininit.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ProgramFiles(x86)%\Mozilla Firefox\firefox\firefox.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'audiodg' = '"%LOCALAPPDATA%\Programs\Common\audiodg.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"C:\totalcmd\LANGUAGE\wininit.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\winlogon
- <SYSTEM32>\tasks\lsass
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\audiodg
Изменения в файловой системе
Создает следующие файлы
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\6cb0b6c459d5d3455a3da700e713f2e2529862ff
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\cc11b995f2a76da408ea6a601e682e64743153ad
- %WINDIR%\syswow64\uicom\lsass.exe
- %WINDIR%\syswow64\uicom\6203df4a6bafc7c328ee7f6f8ca0a8a838a8a1b9
- %WINDIR%\syswow64\d3dx10_33\csrss.exe
- %WINDIR%\syswow64\d3dx10_33\886983d96e3d3e31032c679b2d4ea91b6c05afef
- %WINDIR%\syswow64\api-ms-win-crt-locale-l1-1-0\wininit.exe
- %WINDIR%\syswow64\api-ms-win-crt-locale-l1-1-0\560854153607923c4c5f107085a7db67be01f252
- %ProgramFiles(x86)%\mozilla firefox\firefox\firefox.exe
- %ProgramFiles(x86)%\mozilla firefox\firefox\0fc223bdacedc38dd6d2772d547ade1563558e92
- %LOCALAPPDATA%\programs\common\audiodg.exe
- %LOCALAPPDATA%\programs\common\42af1c969fbb7b2ae36b0e06bea61fc9a154b4af
- C:\totalcmd\language\wininit.exe
- C:\totalcmd\language\560854153607923c4c5f107085a7db67be01f252
Сетевая активность
Подключается к
- '82.##6.52.25':80
- 't.#e':443
TCP
Запросы HTTP GET
- http://82.##6.52.25/PacketMultigenerator.php?rR##################################################################################################################################################...
Другие
- 't.#e':443
UDP
- DNS ASK t.#e
Другое
Создает и запускает на исполнение
- 'C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe'
- 'C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'<SYSTEM32>\uicom\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<SYSTEM32>\d3dx10_33\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'<SYSTEM32>\api-ms-win-crt-locale-l1-1-0\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Mozilla Firefox\firefox\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodg" /sc ONLOGON /tr "'%LOCALAPPDATA%\Programs\Common\audiodg.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\wininit.exe'" /rl HIGHEST /f
