Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'uPc+kt0NdsbCxl' = 'rundll32.exe <SYSTEM32>\vm6ebyrq.dll, SystemServer'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'uPc+kt0NdsbCxl' = 'rundll32.exe <SYSTEM32>\vm6ebyrq.dll, SystemServer'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlmsc' = '%TEMP%\xeacbux.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlmsc' = '%TEMP%\xeacbux.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlqvc' = '%TEMP%\wininst.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlqvc' = '%TEMP%\wininst.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlhb' = '%TEMP%\debug.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlhb' = '%TEMP%\debug.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Mquuf' = '%WINDIR%\spoolsv.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Mquuf' = '%WINDIR%\spoolsv.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Mqqoc' = '%WINDIR%\debug.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Mqqoc' = '%WINDIR%\debug.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlrxc' = '%TEMP%\spoolsv.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Lvqfiejlrxc' = '%TEMP%\spoolsv.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
блокирует:
- Компонент восстановления системы (SR)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\gzlarjrmnb.dll
- %WINDIR%\syswow64\vm6ebyrq.dll
- %TEMP%\ogl4nf.exe
- %TEMP%\y1aht0la82auet4.exe
- %TEMP%\xeacbux.exe
- %TEMP%\osjfs873wuhd.tmp
- %TEMP%\sdkik3fsiedfahfyg.tmp
- %TEMP%\wininst.exe
- <Текущая директория>\p2hhr.bat
- %TEMP%\debug.exe
- %WINDIR%\spoolsv.exe
- %TEMP%\yawghd72y7huhd.tmp
- %WINDIR%\debug.exe
- %TEMP%\spoolsv.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\xeacbux.exe
- %TEMP%\wininst.exe
- %TEMP%\debug.exe
- %WINDIR%\spoolsv.exe
- %WINDIR%\debug.exe
- %TEMP%\spoolsv.exe
Самоудаляется.
Сетевая активность
UDP
- DNS ASK in###nes.com
- DNS ASK nu##lo.com
Другое
Ищет следующие окна
- ClassName: 'jhsf78i3ujnkdsvc' WindowName: 'sdfcj9w83jkdmfnf'
- ClassName: 'pizdavamsuki' WindowName: 'klzfj98oklfdfd'
- ClassName: 'sdfa37ajdf' WindowName: 'sfakjh3w87huiaefndjkbfd'
- ClassName: 'sdr4gfgfhdfzv' WindowName: 'asfraggrsg'
- ClassName: 'Progman' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ogl4nf.exe'
- '%TEMP%\y1aht0la82auet4.exe'
- '%TEMP%\xeacbux.exe'
- '%WINDIR%\debug.exe'
- '%TEMP%\wininst.exe'
- '%TEMP%\spoolsv.exe'
- '%WINDIR%\spoolsv.exe'
- '%TEMP%\debug.exe'
- '%TEMP%\debug.exe' ' (со скрытым окном)
- '%WINDIR%\debug.exe' ' (со скрытым окном)
- '%WINDIR%\spoolsv.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /s <SYSTEM32>\gzlarjrmnb.dll' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\vm6ebyrq.dll, SystemServer' (со скрытым окном)
- '%WINDIR%\syswow64\explorer.exe' ' (со скрытым окном)
- '%TEMP%\xeacbux.exe' ' (со скрытым окном)
- '%TEMP%\wininst.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\p2hhr.bat" "<Полный путь к файлу>""' (со скрытым окном)
- '%TEMP%\spoolsv.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s <SYSTEM32>\gzlarjrmnb.dll
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\vm6ebyrq.dll, SystemServer
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\p2hhr.bat" "<Полный путь к файлу>""
