Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '6ed7e26ece4c4553b2fcad173b0fe27a' = '"%WINDIR%\lsass.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%WINDIR%\MSDCSC\svchost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{10E0OBO6-5UX8-70E2-LT0B-TB0NQ1340IX4}] 'StubPath' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '6ed7e26ece4c4553b2fcad173b0fe27a' = '"%WINDIR%\lsass.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroUpdate' = '%WINDIR%\MSDCSC\svchost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Policies' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Policies' = ''
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{10E0OBO6-5UX8-70E2-LT0B-TB0NQ1340IX4}] 'StubPath' = '%WINDIR%\install\svchost.exe Restart'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HKCU' = ''
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\6ed7e26ece4c4553b2fcad173b0fe27a.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Se-Najaf.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\lsass.exe' = '%WINDIR%\lsass.exe:*:Enabled:lsass.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%WINDIR%\lsass.exe'
- '%TEMP%\IDM v6.xx PATCH.exe'
- '%WINDIR%\MSDCSC\svchost.exe'
- '%WINDIR%\install\svchost.exe'
- '%TEMP%\W RFM.exe'
- '%TEMP%\Nj 0.6.4RFM.exe'
- '%TEMP%\NJ 0.5.0.exe'
- '%TEMP%\sn2.6 RFM.exe'
- '%TEMP%\DC5.3 RFM.exe'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' "%HOMEPATH%\Local Settings\Temp" +s +h
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\lsass.exe" "lsass.exe" ENABLE
- '<SYSTEM32>\attrib.exe' "%TEMP%\DC5.3 RFM.exe" +s +h
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\notepad.exe
- <SYSTEM32>\alg.exe
- <SYSTEM32>\ctfmon.exe
- <SYSTEM32>\smss.exe
- System
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\services.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\csrss.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\MSDCSC\svchost.exe
- %TEMP%\Visitor -BRK-.FON
- %TEMP%\bassmod.dll
- %TEMP%\XX--XX--XX.txt
- %TEMP%\XxX.xXx
- %TEMP%\UuU.uUu
- %TEMP%\47319.dmp
- %APPDATA%\logs.dat
- %WINDIR%\install\svchost.exe
- %TEMP%\DC5.3 RFM.exe
- %TEMP%\sn2.6 RFM.exe
- %TEMP%\NJ 0.5.0.exe
- %TEMP%\Nj 0.6.4RFM.exe
- %TEMP%\IDM v6.xx PATCH.exe
- %TEMP%\dw.log
- %WINDIR%\lsass.exe
- %TEMP%\W RFM.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\logs.dat
- %TEMP%\DC5.3 RFM.exe
- %WINDIR%\install\svchost.exe
- %WINDIR%\MSDCSC\svchost.exe
- <Имя диска съемного носителя>:\Se-Najaf.exe
Удаляет следующие файлы:
- %TEMP%\XxX.xXx
- %TEMP%\UuU.uUu
- %TEMP%\XX--XX--XX.txt
Сетевая активность:
Подключается к:
- 'fl####ro.no-ip.org':1232
- 'fl####ro.no-ip.org':1000
- 'localhost':81
- 'fl####ro.no-ip.org':1510
- 'fl####ro.no-ip.org':100
- 'fl####ro.no-ip.org':99
- 'fl####ro.no-ip.org':1177
- 'fl####ro.no-ip.org':1604
- 'localhost':1604
UDP:
- DNS ASK th####r.no-ip.org
- DNS ASK fl####est.no-ip.org
- DNS ASK fl####ro.no-ip.org
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: '#32770' WindowName: 'NJ 0.5.0.exe'
- ClassName: '#32770' WindowName: 'W RFM.exe - No Disk'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Shell_traywnd' WindowName: ''
