Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
Изменения в файловой системе:
Создает следующие файлы:
- C:\prague.jpg
- C:\pisam.jpg
- C:\tyrol.jpg
- C:\praguem.jpg
- C:\paris.jpg
- C:\heidelbm.jpg
- C:\pisa.jpg
- C:\parism.jpg
- C:\tyrolm.jpg
- C:\backoff.jpg
- C:\backdown.jpg
- C:\backup.jpg
- C:\backover.jpg
- C:\venicem.jpg
- C:\venice.jpg
- C:\veronam.jpg
- C:\verona.jpg
- C:\unlock_playing_ghost.jpg
- C:\unlock_playing_big.jpg
- C:\ASPdotNET_logo.jpg
- C:\window_up.jpg
- C:\unlock_optimized_big.jpg
- C:\unlock_optimized.jpg
- C:\unlock_playing.jpg
- C:\unlock_optimized_ghost.jpg
- C:\darkBlue_GRAD.jpg
- C:\bulzano.jpg
- C:\greendot.jpg
- C:\heidelb.jpg
- C:\bulzanom.jpg
- C:\security_watermark.jpg
- C:\help.jpg
- C:\stripe.jpg
- C:\topGradRepeat.jpg
- C:\mslogo.jpg
- C:\Azul.jpg
- C:\Autumn.jpg
- C:\Follow.jpg
- C:\Crystal.jpg
- C:\wpakey.jpg
- C:\wpaflag.jpg
- C:\Ascent.jpg
- C:\wpatop.jpg
- C:\Friend.jpg
- C:\Stonehenge.jpg
- C:\Ripple.jpg
- C:\Wind.jpg
- C:\Tulips.jpg
- C:\Peace.jpg
- C:\Home.jpg
- C:\Radiance.jpg
- C:\Power.jpg
- C:\newtop8.jpg
- C:\newtop1.jpg
- C:\nextoff.jpg
- C:\nextdown.jpg
- C:\newbtm8.jpg
- C:\newbtm1.jpg
- C:\newmark8.jpg
- C:\newmark1.jpg
- C:\nextover.jpg
- C:\skipup.jpg
- C:\skipover.jpg
- C:\wpabtm.jpg
- C:\wpaback.jpg
- C:\oemcoa.jpg
- C:\nextup.jpg
- C:\skipoff.jpg
- C:\skipdown.jpg
- C:\unlock_built_ghost.jpg
- C:\desktop_screen_shot.jpg
- C:\control_up.jpg
- C:\end_up.jpg
- C:\desktop_up.jpg
- C:\connected_wizard.jpg
- C:\connected_networks_ghost.jpg
- C:\connected_wizard_ghost.jpg
- C:\connected_wizard_big.jpg
- C:\folder_up.jpg
- C:\img033a.jpg
- C:\img033.jpg
- C:\img040.jpg
- C:\img034.jpg
- C:\icon_up.jpg
- C:\gradient.jpg
- C:\img014.jpg
- C:\img004b.jpg
- C:\best_robust_ghost.jpg
- C:\best_robust_big.jpg
- C:\best_secure_big.jpg
- C:\best_secure.jpg
- C:\best_road_big.jpg
- C:\best_road.jpg
- C:\best_robust.jpg
- C:\best_road_ghost.jpg
- C:\best_secure_ghost.jpg
- C:\connected_multiple_ghost.jpg
- C:\connected_multiple_big.jpg
- C:\connected_networks_big.jpg
- C:\connected_networks.jpg
- C:\connected_data_big.jpg
- C:\connected_data.jpg
- C:\connected_multiple.jpg
- C:\connected_data_ghost.jpg
- C:\img046.jpg
- C:\safe_easy_better_ghost.jpg
- C:\safe_easy_better_big.jpg
- C:\safe_easy_easier_big.jpg
- C:\safe_easy_easier.jpg
- C:\question_icon.jpg
- C:\pen_icon.jpg
- C:\safe_easy_better.jpg
- C:\read_icon.jpg
- C:\safe_easy_easier_ghost.jpg
- C:\ul_logo.jpg
- C:\taskbar_up.jpg
- C:\unlock_built_big.jpg
- C:\unlock_built.jpg
- C:\safe_easy_faster_big.jpg
- C:\safe_easy_faster.jpg
- C:\start_up.jpg
- C:\safe_easy_faster_ghost.jpg
- C:\img100.jpg
- C:\img089.jpg
- C:\img109.jpg
- C:\img103.jpg
- C:\img068.jpg
- C:\img060.jpg
- C:\img074a.jpg
- C:\img072.jpg
- C:\img110.jpg
- C:\img149.jpg
- C:\img136.jpg
- C:\logo.jpg
- C:\intro_logo.jpg
- C:\img121.jpg
- C:\img116.jpg
- C:\img126.jpg
- C:\img123.jpg
Сетевая активность:
Подключается к:
- '18#.#2.1.226':21
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: ''
