Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '2723856520' = '%LOCALAPPDATA%\wdu.exe'
- [HKCU\Software\Classes\.exe] '' = 'exefile'
- [HKCU\Software\Classes\.exe] 'Content Type' = 'application/x-msdownload'
- [HKCU\Software\Classes\.exe\shell\open\command] '' = '"%LOCALAPPDATA%\wdu.exe" -a "%1" %*'
- [HKCU\Software\Classes\exefile\shell\open\command] '' = '"%LOCALAPPDATA%\wdu.exe" -a "%1" %*'
- [HKLM\SOFTWARE\Wow6432Node\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"%LOCALAPPDATA%\wdu.exe" -a "%ProgramFiles(x86)%\Internet Explorer\iexplore.exe"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
блокирует:
- Центр поддержки Windows (Action Center)
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\wdu.exe
- %LOCALAPPDATA%\dhs064wd2b61tuthg0oa024upwmwxj66eav7qdxv0g1n0
- %ALLUSERSPROFILE%\dhs064wd2b61tuthg0oa024upwmwxj66eav7qdxv0g1n0
- %TEMP%\dhs064wd2b61tuthg0oa024upwmwxj66eav7qdxv0g1n0
- %APPDATA%\microsoft\windows\templates\dhs064wd2b61tuthg0oa024upwmwxj66eav7qdxv0g1n0
Самоудаляется.
Сетевая активность
Подключается к
- 'microsoft.com':80
UDP
- DNS ASK go###udesu.com
- DNS ASK jo###umehyn.com
- DNS ASK ti###iwof.com
- DNS ASK le###alyri.com
- DNS ASK za###eduhyb.com
- DNS ASK ja####kuxilufo.com
- DNS ASK microsoft.com
- DNS ASK dy####xupurox.com
- DNS ASK zy####reqybo.com
- DNS ASK ba####hadipef.com
- DNS ASK ko####sovurobo.com
- DNS ASK lo####vezyzoba.com
- DNS ASK wu###udizo.com
- DNS ASK ra####kojaki.com
- DNS ASK be####zasesif.com
- DNS ASK pi####recufa.com
- DNS ASK sy###ypiku.com
- DNS ASK qa###epin.com
- DNS ASK ne####zevibe.com
- DNS ASK sa####nyzyvo.com
- DNS ASK vo###urupe.com
- DNS ASK my####nybihy.com
- DNS ASK ca####xekopyny.com
- DNS ASK xe###agyxut.com
- DNS ASK ku###yfybex.com
- DNS ASK da####kidepo.com
- DNS ASK wu####xuboly.com
- DNS ASK gy###atimak.com
- DNS ASK qa####hucewupo.com
- DNS ASK zy####muzosa.com
- DNS ASK wy###ylys.com
- DNS ASK ze###akyfa.com
- DNS ASK jo###ijito.com
- DNS ASK he####kejepuvo.com
- DNS ASK xo###ehyni.com
- DNS ASK vy###aneh.com
- DNS ASK le###esax.com
- DNS ASK dy####cojame.com
- DNS ASK bo####qexise.com
- DNS ASK so###yjek.com
- DNS ASK jo####tuhowa.com
- DNS ASK du####bimude.com
- DNS ASK py###ujij.com
- DNS ASK ny###usofo.com
- DNS ASK li###ibam.com
- DNS ASK si####pofeti.com
- DNS ASK du####cuwada.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\wdu.exe' -gav <Полный путь к файлу>
Запускает на исполнение
- '%WINDIR%\explorer.exe'
