Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe rundll32.exe onyc.ffo hgikqnb'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1400' = '00000003'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1C00' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsme2c1.tmp
- %TEMP%\nswe39c.tmp\ic2.exe
- %TEMP%\nswe39c.tmp\dnu.exe
- %TEMP%\nswe39c.tmp\e4u.exe
- %TEMP%\nswe39c.tmp\webtraff.exe
- %TEMP%\nswe39c.tmp\cb-wp.exe
- %TEMP%\~ea4e.bat
- %TEMP%\f565.tmp
- %TEMP%\212.tmp
- %TEMP%\ebz..bat
- %WINDIR%\syswow64\onyc.ffo
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\~ea4e.bat
Удаляет следующие файлы
- %TEMP%\nswe39c.tmp\cb-wp.exe
- %TEMP%\nswe39c.tmp\dnu.exe
- %TEMP%\nswe39c.tmp\e4u.exe
- %TEMP%\nswe39c.tmp\ic2.exe
- %TEMP%\nswe39c.tmp\webtraff.exe
- %TEMP%\~ea4e.bat
- <SYSTEM32>\spool\prtprocs\x64\290.tmp
Перемещает следующие файлы
- %TEMP%\212.tmp в <SYSTEM32>\spool\prtprocs\x64\290.tmp
- %TEMP%\nswe39c.tmp\dnu.exe в %TEMP%\13b1.tmp
Сетевая активность
UDP
- DNS ASK ab####gnostic.com
- DNS ASK bb###sworld.com
- DNS ASK wo####tsstudio.com
- DNS ASK wo####tsgallery.com
- DNS ASK co###-arts.com
- DNS ASK a5###0057.cn
- DNS ASK av##i.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Static' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\nswe39c.tmp\ic2.exe'
- '%TEMP%\nswe39c.tmp\dnu.exe'
- '%TEMP%\nswe39c.tmp\e4u.exe'
- '%TEMP%\nswe39c.tmp\webtraff.exe'
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~EA4E.bat "%TEMP%\nswE39C.tmp\ic2.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /q /c "%TEMP%\Ebz..bat" > nul 2> nul' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %TEMP%\nswE39C.tmp\e4u.exe > nul' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~EA4E.bat "%TEMP%\nswE39C.tmp\ic2.exe"
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe'
- '%ProgramFiles%\microsoft office\office14\winword.exe' /Automation -Embedding
- '%WINDIR%\syswow64\cmd.exe' /q /c "%TEMP%\Ebz..bat" > nul 2> nul
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del %TEMP%\nswE39C.tmp\e4u.exe > nul
