Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'b112e20fe12960d6d6ec49a46df7f487' = '"%TEMP%\ظ…ظ†ط¸ظˆظ…ط© ظ„ظٹط¨ظٹط§ظ†ط§ ظˆط§ظ„ظ…ط¯ط§ط± 2014 .exe" ..'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'b112e20fe12960d6d6ec49a46df7f487' = '"%TEMP%\ظ…ظ†ط¸ظˆظ…ط© ظ„ظٹط¨ظٹط§ظ†ط§ ظˆط§ظ„ظ…ط¯ط§ط± 2014 .exe" ..'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\ظ…ظ†طВёظˆظ…طВ© ظ„ظٹطВЁظٹطВ§ظ†طВ§ ظˆطВ§ظ„ظ…طВЇطВ§طВ± 2014 .ex...
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\ظ…ظ†طВёظˆظ…طВ© ظ„ظٹطВЁظٹطВ§ظ†طВ§ ظˆطВ§ظ„ظ…طВЇطВ§طВ± 2014 .exe" "ظ…ظ†طВёظˆظ…طВ© ظ„ظٹطВЁظٹطВ§ظ†طВ§ ظˆطВ§ظ„ظ…طВЇطВ§طВ± 2014 .exe" ENABLE
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ظ…ظ†طВёظˆظ…طВ© ظ„ظٹطВЁظٹطВ§ظ†طВ§ ظˆطВ§ظ„ظ…طВЇطВ§طВ± 2014 .exe
Сетевая активность
UDP
- DNS ASK yo####ost.no-ip.biz
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\ظ…ظ†طВёظˆظ…طВ© ظ„ظٹطВЁظٹطВ§ظ†طВ§ ظˆطВ§ظ„ظ…طВЇطВ§طВ± 2014 .exe" "ظ…ظ†طВёظˆظ…طВ© ظ„ظٹطВЁظٹطВ§ظ†طВ§ ظˆطВ§ظ„ظ…طВЇطВ§طВ± 2014 .exe" ENABLE' (со скрытым окном)
