Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\\Sov.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Win Update' = '%TEMP%\Win Update\Win Update.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\UFASoft.exe' /pid=5928
- '%APPDATA%\UFASoft.exe' /pid=5728
- '%APPDATA%\UFASoft.exe' /pid=6116
- '%APPDATA%\UFASoft.exe' /pid=6012
- '%APPDATA%\UFASoft.exe' /pid=5628
- '%APPDATA%\UFASoft.exe' /pid=5200
- '%APPDATA%\UFASoft.exe' /pid=5080
- '%APPDATA%\UFASoft.exe' /pid=5512
- '%APPDATA%\UFASoft.exe' /pid=5348
- '%APPDATA%\UFASoft.exe' /pid=5008
- '%APPDATA%\UFASoft.exe' /pid=4868
- '%APPDATA%\UFASoft.exe' /pid=5336
- '%APPDATA%\UFASoft.exe' /pid=4980
- '%APPDATA%\UFASoft.exe' /pid=4728
- '%APPDATA%\UFASoft.exe' /pid=4148
- '%APPDATA%\UFASoft.exe' /pid=3140
- '%APPDATA%\UFASoft.exe' /pid=2716
- '%APPDATA%\UFASoft.exe' /pid=4248
- '%APPDATA%\UFASoft.exe' /pid=2768
- '%APPDATA%\UFASoft.exe' /pid=3052
- '%APPDATA%\UFASoft.exe' /pid=4228
- '%APPDATA%\UFASoft.exe' /pid=1940
- '%APPDATA%\UFASoft.exe' /pid=4004
- '%APPDATA%\UFASoft.exe' -a scrypt -g no -o stratum+tcp://stratum2.wemineltc.com:3334 -u BlackFalcon.1 -p 123 -t 4
- '%APPDATA%\UFASoft.exe' /pid=2924
- '%APPDATA%\UFASoft.exe' /pid=312
- '%APPDATA%\UFASoft.exe' /pid=4700
- '%APPDATA%\UFASoft.exe' /pid=4620
- '%APPDATA%\UFASoft.exe' /pid=5000
- '%APPDATA%\UFASoft.exe' /pid=4780
- '%APPDATA%\UFASoft.exe' /pid=3112
- '%APPDATA%\UFASoft.exe' /pid=2872
- '%APPDATA%\UFASoft.exe' /pid=4300
- '%APPDATA%\UFASoft.exe' /pid=4560
- '<SYSTEM32>\wbem\wmiprvse.exe' (загружен из сети Интернет)
- '%APPDATA%\UFASoft.exe' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbem\wmiprvse.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\miner.dll
- %APPDATA%\coinutil.dll
- %APPDATA%\phatk.cl
- %APPDATA%\usft_ext.dll
- %APPDATA%\phatk.ptx
- %APPDATA%\btc-evergreen.il
- %TEMP%\Win Update\Win Update.exe
- %TEMP%\AppLunch\Cho.ine
- %APPDATA%\UFASoft.exe
- %APPDATA%\btc.il
- %APPDATA%\bdb.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\AppLunch\Vcb.exe
Перемещает следующие файлы:
- %TEMP%\AppLunch\Cho.ine в %TEMP%\AppLunch\Vcb.exe
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\Sov.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/sov1001/miner.dll
- 19#.#0.57.179/sov1001/coinutil.dll
- 19#.#0.57.179/sov1001/phatk.cl
- 19#.#0.57.179/sov1001/usft_ext.dll
- 19#.#0.57.179/sov1001/phatk.ptx
- 19#.#0.57.179/sov1001/coin-miner.exe
- wp#d/wpad.dat
- 19#.#0.57.179/sov1001/bdb.dll
- 19#.#0.57.179/sov1001/btc-evergreen.il
- 19#.#0.57.179/sov1001/btc.il
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
