Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Run] 'Vsgfwkb' = 'C:\Users\user\AppData\Roaming\87nYGK\SnippingTool.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\software.log1
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\config\system
- D:\windows\system32\config\system.log1
- D:\windows\system32\tasks\ftimevvv
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\lqfl5ma\msdtc.exe
- D:\users\user\appdata\local\temp\mie.cmd
- D:\users\user\appdata\local\temp\x9b1a3.tmp
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\windows\system32\winevt\logs\microsoft-windows-windows firewall with advanced security%4firewall.evtx
- D:\system volume information\syscache.hve
- D:\users\user\appdata\roaming\microsoft\windows\startm~1\programs\startup\vsgfwkb.lnk
- D:\users\user\appdata\roaming\87nygk\snippingtool.exe
- D:\users\user\appdata\local\temp\ywyi0o.cmd
- D:\users\user\appdata\local\temp\pd28719.tmp
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\ntuser.dat
- D:\users\user\ntuser.dat.log1
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\users\user\appdata\roaming\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
- D:\windows\system32\config\software
- D:\system volume information\syscache.hve.log1
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
Удаляет следующие файлы
- D:\users\user\appdata\roaming\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
- D:\users\user\appdata\local\temp\ywyi0o.cmd
- D:\users\user\appdata\local\temp\mie.cmd
Перемещает следующие файлы
- D:\users\user\appdata\local\temp\pd28719.tmp в D:\users\user\appdata\roaming\87nygk\uxtheme.dll
- D:\users\user\appdata\local\temp\x9b1a3.tmp в D:\windows\system32\lqfl5ma\version.dll
Подменяет следующие файлы
- D:\users\user\appdata\roaming\microsoft\crypto\rsa\s-1-5-21-1238866942-1249195528-555854008-1000\f58155b4b1d5a524ca0261c3ee99fb50_d4602615-9d50-4880-be41-678935e93eaa
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- 'D:\windows\system32\netsh.exe' advfirewall firewall add rule name="Core Networking - Multicast Listener Done (ICMPv4-In)" program="%WINDIR%\Explorer.EXE" dir=in action=allow protocol=TCP localport=any' (со скрытым окном)
- 'D:\windows\system32\cmd.exe' /c C:\Users\user\AppData\Local\Temp\YwYi0o.cmd' (со скрытым окном)
- 'D:\windows\system32\cmd.exe' /c C:\Users\user\AppData\Local\Temp\MiE.cmd' (со скрытым окном)
- 'D:\windows\system32\schtasks.exe' /Create /F /TN "Ftimevvv" /TR <SYSTEM32>\LQfl5ma\msdtc.exe /SC minute /MO 60 /RL highest' (со скрытым окном)
