Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '617252297' = '%LOCALAPPDATA%\wda.exe'
- [HKCU\Software\Classes\.exe] '' = 'exefile'
- [HKCU\Software\Classes\.exe] 'Content Type' = 'application/x-msdownload'
- [HKCU\Software\Classes\.exe\shell\open\command] '' = '"%LOCALAPPDATA%\wda.exe" -a "%1" %*'
- [HKCU\Software\Classes\exefile\shell\open\command] '' = '"%LOCALAPPDATA%\wda.exe" -a "%1" %*'
- [HKLM\SOFTWARE\Wow6432Node\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"%LOCALAPPDATA%\wda.exe" -a "%ProgramFiles(x86)%\Internet Explorer\iexplore.exe"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
блокирует:
- Центр поддержки Windows (Action Center)
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\niecc91.tmp
- %LOCALAPPDATA%\wda.exe
- %TEMP%\niee704.tmp
- %LOCALAPPDATA%\ks516534dwo7uw60o36gux02syeyqw3h0
- %ALLUSERSPROFILE%\ks516534dwo7uw60o36gux02syeyqw3h0
- %TEMP%\ks516534dwo7uw60o36gux02syeyqw3h0
- %APPDATA%\microsoft\windows\templates\ks516534dwo7uw60o36gux02syeyqw3h0
Удаляет следующие файлы
- %TEMP%\niecc91.tmp
- %TEMP%\niee704.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'microsoft.com':80
UDP
- DNS ASK ku###idewar.com
- DNS ASK za####dixahok.com
- DNS ASK ma####noralibu.com
- DNS ASK pu####pageta.com
- DNS ASK pi####caciqil.com
- DNS ASK hi###umala.com
- DNS ASK xy####talomu.com
- DNS ASK lo###ejav.com
- DNS ASK dy####gymasasu.com
- DNS ASK qa###alomo.com
- DNS ASK se####wytuzek.com
- DNS ASK qa####pojewiv.com
- DNS ASK zo###ymiz.com
- DNS ASK vo####dacyfyki.com
- DNS ASK so###urepu.com
- DNS ASK xe####kawuhady.com
- DNS ASK wu###omovom.com
- DNS ASK so###yzev.com
- DNS ASK vu####hevixaf.com
- DNS ASK nu####jilamipu.com
- DNS ASK zy####dojusoko.com
- DNS ASK ne###ezyjih.com
- DNS ASK lo####hosywaw.com
- DNS ASK na####hohuly.com
- DNS ASK ny####wafyfa.com
- DNS ASK wu###osux.com
- DNS ASK pe###ukos.com
- DNS ASK xy####nihyfo.com
- DNS ASK xy###yquk.com
- DNS ASK zy####movyxy.com
- DNS ASK di####jubeka.com
- DNS ASK le####bunosu.com
- DNS ASK va###uzozuq.com
- DNS ASK to####lymavi.com
- DNS ASK microsoft.com
- DNS ASK ry###amogo.com
- DNS ASK to###uwace.com
- DNS ASK xa###iwehiw.com
- DNS ASK xe####wunikyle.com
- DNS ASK zo####kimewut.com
- DNS ASK co###irebu.com
- DNS ASK hy###ucugi.com
- DNS ASK ly####fotoqy.com
- DNS ASK ro###ymici.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\wda.exe' -gav <Полный путь к файлу>
Запускает на исполнение
- '%WINDIR%\explorer.exe'
