Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Command Processor] 'AutoRun' = '"%APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe"'
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '"%APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ndadmin' = '"%APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'ndadmin' = '"%APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\EFS] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe' "<Полный путь к вирусу>"
Запускает на исполнение:
- '<SYSTEM32>\wsqmcons.exe'
- '<SYSTEM32>\taskhost.exe' $(Arg0)
- '<SYSTEM32>\schtasks.exe' /delete /f /TN "Microsoft\Windows\Customer Experience Improvement Program\Uploader"
- '<SYSTEM32>\rundll32.exe' dfdts.dll,DfdGetDefaultPolicyAndSMART
- '<SYSTEM32>\efsui.exe' /efs /keybackup
- '<SYSTEM32>\svchost.exe' -k netsvcs
- '<SYSTEM32>\sdclt.exe' /CONFIGNOTIFICATION
- '<SYSTEM32>\sc.exe' start w32time task_started
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ndadmin.lnk
- %APPDATA%\Roaming\Microsoft\Windows\dllcache\RCX7B68.tmp
- %APPDATA%\Roaming\Microsoft\Windows\dllcache\RCX7A1F.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8B3F.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8AF0.tmp
- C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\StartUp\ndadmin.lnk
- %APPDATA%\Roaming\Microsoft\SystemCertificates\My\Certificates\5440CF83ADBF1E4A92ECF43A2A346F7BF93B7898
- %APPDATA%\Roaming\Microsoft\Crypto\RSA\S-1-5-21-3525224950-2885160813-905547259-1000\32e2bbdddb69eb94444209b8683cd3e6_fdaad129-04df-4089-bb80-174ce725f721
- %TEMP%\tmp7944.tmp
- %APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe
- C:\System Volume Information\EFS0.LOG
Удаляет следующие файлы:
- %TEMP%\tmp7C14.tmp
- %TEMP%\~DFCEC4F0BE4AF2A32A.TMP
- %TEMP%\tmp7944.tmp
- %TEMP%\~DF58CBCEFC1A0EC13F.TMP
- C:\System Volume Information\EFS0.LOG
Перемещает следующие файлы:
- %APPDATA%\Roaming\Microsoft\Windows\dllcache\RCX7B68.tmp в %APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe
- %APPDATA%\Roaming\Microsoft\Windows\dllcache\RCX7A1F.tmp в %APPDATA%\Roaming\Microsoft\Windows\dllcache\ndadmin.exe
Сетевая активность:
UDP:
- DNS ASK ti##.#indows.com
- 'ti##.#indows.com':123
Другое:
Ищет следующие окна:
- ClassName: 'NotifyIconOverflowWindow' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'TrayNotifyWnd' WindowName: '(null)'
