Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Update' = 'C:\Users\user\AppData\Roaming\WindowsUpdate.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Внедряет код в
следующие пользовательские процессы:
- vbc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- D:\users\user\appdata\roaming\mozilla\firefox\profiles.ini
- D:\users\user\appdata\local\google\chrome\user data\default\web data
- D:\users\user\appdata\local\google\chrome\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\system.log1
- D:\users\user\appdata\local\temp\cab1757.tmp
- D:\users\user\appdata\local\temp\tar1758.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\94308059b57b3142e455b38a6eb92015
- D:\users\user\appdata\local\temp\cab18fe.tmp
- D:\users\user\appdata\local\temp\tar18ff.tmp
- D:\users\user\appdata\local\temp\cab196d.tmp
- D:\users\user\appdata\local\temp\tar196e.tmp
- D:\users\user\appdata\local\temp\cab199e.tmp
- D:\users\user\appdata\local\temp\tar199f.tmp
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\local\temp\cab19cf.tmp
- D:\users\user\appdata\local\temp\cab1aea.tmp
- D:\users\user\appdata\local\temp\tar1afa.tmp
- D:\users\user\appdata\local\temp\cab1b3a.tmp
- D:\users\user\appdata\local\temp\tar1b3b.tmp
- D:\users\user\appdata\local\temp\cab1c26.tmp
- D:\users\user\appdata\local\temp\tar1c27.tmp
- D:\users\user\appdata\local\temp\cab1c66.tmp
- D:\users\user\appdata\local\temp\tar1c67.tmp
- D:\users\user\appdata\local\temp\cab1d62.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\e0f5c59f9fa661f6f4c50b87fef3a15a
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\e0f5c59f9fa661f6f4c50b87fef3a15a
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\system volume information\syscache.hve
- D:\users\user\appdata\roaming\pid.txt
- D:\users\user\appdata\roaming\pidloc.txt
- D:\users\user\appdata\roaming\windowsupdate.exe
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\ntuser.dat.log1
- D:\users\user\ntuser.dat
- D:\users\user\appdata\local\temp\tar1d63.tmp
- D:\users\user\appdata\local\temp\tar19df.tmp
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\windows\system32\microsoft\protect\s-1-5-18\user\619f4e8a-99e8-426e-9cbd-7567320a6dce
- D:\windows\system32\microsoft\protect\s-1-5-18\user\preferred
- D:\programdata\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- D:\programdata\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- D:\programdata\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- D:\users\user\appdata\local\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- D:\users\user\appdata\local\temp\holderwb.txt
- D:\windows\system32\winevt\logs\security.evtx
- D:\system volume information\syscache.hve.log1
- D:\windows\system32\config\system
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
Удаляет следующие файлы
- D:\users\user\appdata\local\temp\holderwb.txt
- D:\users\user\appdata\local\temp\tar1c67.tmp
- D:\users\user\appdata\local\temp\cab1c66.tmp
- D:\users\user\appdata\local\temp\tar1c27.tmp
- D:\users\user\appdata\local\temp\cab1c26.tmp
- D:\users\user\appdata\local\temp\tar1b3b.tmp
- D:\users\user\appdata\local\temp\cab1b3a.tmp
- D:\users\user\appdata\local\temp\tar1afa.tmp
- D:\users\user\appdata\local\temp\cab1aea.tmp
- D:\users\user\appdata\local\temp\cab1d62.tmp
- D:\users\user\appdata\local\temp\tar19df.tmp
- D:\users\user\appdata\local\temp\tar199f.tmp
- D:\users\user\appdata\local\temp\cab199e.tmp
- D:\users\user\appdata\local\temp\tar196e.tmp
- D:\users\user\appdata\local\temp\cab196d.tmp
- D:\users\user\appdata\local\temp\tar18ff.tmp
- D:\users\user\appdata\local\temp\cab18fe.tmp
- D:\users\user\appdata\local\temp\tar1758.tmp
- D:\users\user\appdata\local\temp\cab1757.tmp
- D:\users\user\appdata\local\temp\cab19cf.tmp
- D:\users\user\appdata\local\temp\tar1d63.tmp
Сетевая активность
Подключается к
- 'wh#####yipaddress.com':80
- 'wh#####yipaddress.com':443
- 'sm##.#ivaldi.net':587
TCP
Запросы HTTP GET
- http://wh#####yipaddress.com/
Другие
- 'wh#####yipaddress.com':443
- 'localhost':49158
- 'sm##.#ivaldi.net':587
- '34.##0.144.191':443
UDP
- DNS ASK wh#####yipaddress.com
- DNS ASK sm##.#ivaldi.net
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
