Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'UpdateyxA4uD' = '%LOCALAPPDATA%\svchost.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updatetask2kumua
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Системный антивирус (Защитник Windows)
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbengine.exe
- <SYSTEM32>\vds.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\168.jpeg
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\parnas_01.jpeg
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\svchost.exe
- C:\users\public\music\sample music\ymtigarqz.readme.txt
- C:\users\public\pictures\sample pictures\ymtigarqz.readme.txt
- C:\users\public\videos\sample videos\ymtigarqz.readme.txt
- %HOMEPATH%\contacts\ymtigarqz.readme.txt
- %HOMEPATH%\desktop\ymtigarqz.readme.txt
- %HOMEPATH%\links\ymtigarqz.readme.txt
Изменяет следующие файлы
- C:\users\public\music\sample music\kalimba.mp3
- C:\users\public\music\sample music\maid with the flaxen hair.mp3
- C:\users\public\music\sample music\sleep away.mp3
- C:\users\public\pictures\sample pictures\chrysanthemum.jpg
- C:\users\public\pictures\sample pictures\desert.jpg
- C:\users\public\pictures\sample pictures\hydrangeas.jpg
- C:\users\public\pictures\sample pictures\jellyfish.jpg
- C:\users\public\pictures\sample pictures\koala.jpg
- C:\users\public\pictures\sample pictures\lighthouse.jpg
- C:\users\public\pictures\sample pictures\penguins.jpg
- C:\users\public\pictures\sample pictures\tulips.jpg
- C:\users\public\videos\sample videos\wildlife.wmv
- %HOMEPATH%\contacts\user.contact
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\168.jpeg
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\google chrome.lnk
- %HOMEPATH%\desktop\telegram.lnk
- %HOMEPATH%\links\desktop.lnk
- %HOMEPATH%\links\downloads.lnk
- %HOMEPATH%\links\recentplaces.lnk
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
UDP
- DNS ASK ex#####-c2-server.com
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\svchost.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn UpdateTask2kuMUa /tr "%LOCALAPPDATA%\svchost.exe" /sc onlogon /rl highest
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\vds.exe'
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\Windows Defender\Windows Defender Scheduled Scan" /DISABLE
