Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'invio_mail' = '<SYSTEM32>\esegui.bat'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="netcode" dir=in action=allow protocol=tcp localport=4444 remoteip=any
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\esegui
- %TEMP%\ger.bat
- %TEMP%\hide_cmd
- %TEMP%\liam
- %TEMP%\oivni
- %TEMP%\shll
- %TEMP%\shlle
- %WINDIR%\syswow64\esegui.bat
- %WINDIR%\syswow64\oivni.bat
- %WINDIR%\syswow64\liam.exe
- %WINDIR%\syswow64\shll.exe
- %WINDIR%\syswow64\hide_cmd.exe
- %WINDIR%\syswow64\shlle.bat
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\esegui
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\ger.bat" "
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\hide_cmd
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\liam
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\oivni
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\shll
- '%WINDIR%\syswow64\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\shlle
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "invio_mail" /t REG_SZ /d "<SYSTEM32>\esegui.bat" /f
