Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'EseNtUtl' = '<DRIVERS>\esentutl.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Mstsc' = '%WINDIR%\System\mstsc.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sessmgr' = '<LS_APPDATA>\Microsoft\Windows\sessmgr.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'DCOM' = '<LS_APPDATA>\Microsoft\dllhost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'IEudInit' = '%APPDATA%\Microsoft\ieudinit.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<DRIVERS>\esentutl.exe' /c 85
- '%APPDATA%\Microsoft\ieudinit.exe' /c 72
- '<LS_APPDATA>\Microsoft\dllhost.exe' /r
- '<LS_APPDATA>\Microsoft\dllhost.exe' /c 28
- '<LS_APPDATA>\Microsoft\Windows\csrss.exe' /c 18
- '%WINDIR%\smss.exe' /c 98
- '%APPDATA%\Microsoft\ieudinit.exe' /c 83
- '%WINDIR%\system\mstsc.exe' /c 70
- '<LS_APPDATA>\Microsoft\dllhost.exe' /c 100
- '%APPDATA%\Microsoft\ieudinit.exe' /c 61
- '<LS_APPDATA>\Microsoft\Windows\smss.exe' /c 77
- '<LS_APPDATA>\Microsoft\dllhost.exe' /c 99
- '%WINDIR%\clipsrv.exe' /c 73
- '%WINDIR%\spoolsv.exe' /c 45
- '<LS_APPDATA>\Microsoft\Windows\sessmgr.exe' /c 91
- '%APPDATA%\Microsoft\cisvc.exe' /c 30
- '<LS_APPDATA>\Microsoft\Windows\cmstp.exe' /c 29
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\RCX8.tmp
- <DRIVERS>\esentutl.exe
- <DRIVERS>\RCX9.tmp
- %WINDIR%\spoolsv.exe
- %WINDIR%\RCX7.tmp
- <LS_APPDATA>\Microsoft\Windows\sessmgr.exe
- %APPDATA%\Microsoft\RCXA.tmp
- <LS_APPDATA>\Microsoft\Windows\RCXC.tmp
- %WINDIR%\smss.exe
- %WINDIR%\RCXD.tmp
- %WINDIR%\system\mstsc.exe
- %WINDIR%\system\RCXB.tmp
- <LS_APPDATA>\Microsoft\Windows\csrss.exe
- %WINDIR%\clipsrv.exe
- %WINDIR%\RCX2.tmp
- %APPDATA%\Microsoft\ieudinit.exe
- %TEMP%\Twain002.Mtx
- <LS_APPDATA>\Microsoft\dllhost.exe
- <LS_APPDATA>\Microsoft\RCX1.tmp
- %APPDATA%\Microsoft\RCX3.tmp
- %APPDATA%\Microsoft\RCX5.tmp
- <LS_APPDATA>\Microsoft\Windows\cmstp.exe
- <LS_APPDATA>\Microsoft\Windows\RCX6.tmp
- <LS_APPDATA>\Microsoft\Windows\smss.exe
- <LS_APPDATA>\Microsoft\Windows\RCX4.tmp
- %APPDATA%\Microsoft\cisvc.exe
Удаляет следующие файлы:
- <DRIVERS>\esentutl.exe
- <LS_APPDATA>\Microsoft\Windows\sessmgr.exe
- %WINDIR%\spoolsv.exe
- %WINDIR%\smss.exe
- <LS_APPDATA>\Microsoft\Windows\csrss.exe
- %WINDIR%\system\mstsc.exe
- %APPDATA%\Microsoft\ieudinit.exe
- %WINDIR%\clipsrv.exe
- <LS_APPDATA>\Microsoft\dllhost.exe
- <LS_APPDATA>\Microsoft\Windows\cmstp.exe
- %APPDATA%\Microsoft\cisvc.exe
- <LS_APPDATA>\Microsoft\Windows\smss.exe
Перемещает следующие файлы:
- %APPDATA%\Microsoft\RCXA.tmp в %APPDATA%\Microsoft\ieudinit.exe
- <DRIVERS>\RCX9.tmp в <DRIVERS>\esentutl.exe
- <LS_APPDATA>\Microsoft\Windows\RCX8.tmp в <LS_APPDATA>\Microsoft\Windows\sessmgr.exe
- %WINDIR%\RCXD.tmp в %WINDIR%\smss.exe
- <LS_APPDATA>\Microsoft\Windows\RCXC.tmp в <LS_APPDATA>\Microsoft\Windows\csrss.exe
- %WINDIR%\system\RCXB.tmp в %WINDIR%\system\mstsc.exe
- %WINDIR%\RCX7.tmp в %WINDIR%\spoolsv.exe
- %APPDATA%\Microsoft\RCX3.tmp в %APPDATA%\Microsoft\ieudinit.exe
- %WINDIR%\RCX2.tmp в %WINDIR%\clipsrv.exe
- <LS_APPDATA>\Microsoft\RCX1.tmp в <LS_APPDATA>\Microsoft\dllhost.exe
- <LS_APPDATA>\Microsoft\Windows\RCX6.tmp в <LS_APPDATA>\Microsoft\Windows\cmstp.exe
- %APPDATA%\Microsoft\RCX5.tmp в %APPDATA%\Microsoft\cisvc.exe
- <LS_APPDATA>\Microsoft\Windows\RCX4.tmp в <LS_APPDATA>\Microsoft\Windows\smss.exe
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
