Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'RTHDBPL' = '%APPDATA%\SysWin\lsass.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_Dlls' = '%ALLUSERSPROFILE%\api-ms-win-core-localization-l1-1-032.dll'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\WMPNetworkSvc32] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\WMPNetworkSvc32] 'ImagePath' = '<SYSTEM32>\kbdfi32.exe'
Создает следующие сервисы
- 'WMPNetworkSvc32' <SYSTEM32>\kbdfi32.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows Update Service" dir=in action=allow program="%WINDIR%\syswow64\kbdfi32.exe" enable=yes profile=domain
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows Update Service" dir=in action=allow program="%WINDIR%\syswow64\kbdfi32.exe" enable=yes profile=private
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows Update Service" dir=in action=allow program="%WINDIR%\syswow64\kbdfi32.exe" enable=yes profile=public
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\api-ms-win-core-localization-l1-1-032.dll
- %WINDIR%\syswow64\d3dd7d321111o.manifest
- %WINDIR%\syswow64\d3dd7d321111c.manifest
- %WINDIR%\syswow64\d3dd7d321111p.manifest
- %ALLUSERSPROFILE%\api-ms-win-core-localization-l1-1-032.dll
- %APPDATA%\syswin\lsass.exe
- %WINDIR%\syswow64\kbdfi32.exe
- %WINDIR%\syswow64\695429701
- %WINDIR%\syswow64\evr32.exe
- %HOMEPATH%\local settings\application data\google\chrome\user data\default\preferences
- %HOMEPATH%\local settings\application data\google\chrome\user data\default\default\ndkhfhmmmgehoabfoiconecbomialcpp\contentscript.js
- %HOMEPATH%\local settings\application data\google\chrome\user data\default\default\ndkhfhmmmgehoabfoiconecbomialcpp\manifest.json
- %HOMEPATH%\application data\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\{97ba79ee-8f70-4ec4-b517-4e200678053a}\chrome.manifest
- %HOMEPATH%\application data\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\{97ba79ee-8f70-4ec4-b517-4e200678053a}\chrome\xulcache.jar
- %HOMEPATH%\application data\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\{97ba79ee-8f70-4ec4-b517-4e200678053a}\defaults\preferences\xulcache.js
- %HOMEPATH%\application data\mozilla\firefox\profiles\apc2n9d1.default-release\extensions\{97ba79ee-8f70-4ec4-b517-4e200678053a}\install.rdf
- %WINDIR%\syswow64\d3dd7d321111s.manifest
- %ALLUSERSPROFILE%\evr32.exe
Сетевая активность
Подключается к
- '89.##7.53.210':80
- '91.##7.153.48':80
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\evr32.exe'
- '%APPDATA%\syswin\lsass.exe'
- '%WINDIR%\syswow64\kbdfi32.exe'
- '%ALLUSERSPROFILE%\evr32.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\evr32.exe' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows Update Service" dir=in action=allow program="%WINDIR%\syswow64\kbdfi32.exe" enable=yes profile=domain (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows Update Service" dir=in action=allow program="%WINDIR%\syswow64\kbdfi32.exe" enable=yes profile=private (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Windows Update Service" dir=in action=allow program="%WINDIR%\syswow64\kbdfi32.exe" enable=yes profile=public (со скрытым окном)
