Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'legf37815g3dnadkh94jteta7rrloc1ffa' = '<SYSTEM32>\gujdfkcm.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'legf37815g3dnadkh94jteta7rrloc1ffa' = '<SYSTEM32>\gujdfkcm.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'legf37815g3dnadkh94jteta7rrloc1ffa' = '<SYSTEM32>\gujdfkcm.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ЎЎ.exe'
- '%TEMP%\Server.exe'
- '<SYSTEM32>\gujdfkcm.exe'
- '%TEMP%\Б»єсpc И®АО.exe'
- '%TEMP%\Б»єсpc И®АО±в.exe'
- '%TEMP%\Б»єсpc+°Л»з+zbpc_check.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\0or81ynhmfeyyg9.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\qbws4t9269zq3ng.bat
- '<SYSTEM32>\attrib.exe' "%TEMP%\Server.exe" -h -r -s
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\6.tmp\zbpc check.cmd""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\4.tmp\zbpc check.cmd""
- '<SYSTEM32>\netstat.exe' -b
- '<SYSTEM32>\findstr.exe' ":8080 :8000" %TEMP%\zbcheck.txt
Скрывает следующие процессы:
- <SYSTEM32>\gujdfkcm.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bXN3aW5zY2sub2N4[1].ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile7.uf@197407484F516F1829F7A5[1].ocx
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bXN3aW5zY2sub2N4[1].ocx
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\uolsn.dll
- %TEMP%\0or81ynhmfeyyg9.bat
- %TEMP%\qbws4t9269zq3ng.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cfile7.uf@197407484F516F1829F7A5[1].ocx
- <SYSTEM32>\gujdfkcm.exe
- %TEMP%\Б»єсpc+°Л»з+zbpc_check.exe
- %TEMP%\ЎЎ.exe
- %TEMP%\Б»єсpc И®АО.exe
- %TEMP%\Б»єсpc И®АО±в.exe
- %TEMP%\Server.exe
- %TEMP%\zbcheck.txt
- %TEMP%\6.tmp\zbpc check.cmd
- %TEMP%\4.tmp\zbpc check.cmd
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\gujdfkcm.exe
Удаляет следующие файлы:
- %TEMP%\~DF3E34.tmp
- %TEMP%\~DFD499.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bXN3aW5zY2sub2N4[1].ocx
- %TEMP%\Server.exe
- %TEMP%\~DF30BF.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bXN3aW5zY2sub2N4[1].ocx
- %TEMP%\~DFAE18.tmp
- %TEMP%\~DF93B2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cfile7.uf@197407484F516F1829F7A5[1].ocx
Сетевая активность:
Подключается к:
- 'th#####jr8.codns.com':80
- 'localhost':1046
- 'bl##.naver.com':80
- 'ma#.#aver.com':80
- 'dd##.##yalbattle.net':90
- 'localhost':1037
- 'localhost':1036
- 'wi######date.tistory.com':80
- 'ei####.dothome.co.kr':80
TCP:
Запросы HTTP GET:
- ma#.#aver.com/
- bl##.naver.com/PostView.nhn?bl####################################
- ei####.dothome.co.kr/bXN3aW5zY2sub2N4.ocx
- wi######date.tistory.com/attachment/cfile7.uf@197407484F516F1829F7A5.ocx
UDP:
- DNS ASK th#####jr8.codns.com
- DNS ASK ma#.#aver.com
- DNS ASK bl##.naver.com
- DNS ASK ei####.dothome.co.kr
- DNS ASK wi######date.tistory.com
- DNS ASK dd##.##yalbattle.net
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '???? ?? ?? ??'
- ClassName: '(null)' WindowName: '?? ? ?? ?? ??'
- ClassName: '(null)' WindowName: '?????'
- ClassName: '(null)' WindowName: 'Windows ?? ??'
- ClassName: '(null)' WindowName: 'gujdfkcm.exe ??'
- ClassName: '(null)' WindowName: 'gujdfkcm.exe ?? ??'
- ClassName: '(null)' WindowName: '??? ?? ??? ?? ???'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: '??? ?? - ??'
- ClassName: '(null)' WindowName: '??? ??'
- ClassName: '(null)' WindowName: '??? ?? ??? ??'
