Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sys' = '%APPDATA%\Windows32\System_32.exe'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\ROMService_Support] 'ImagePath' = '%APPDATA%\Windows32\System_32.exe'
Создает следующие сервисы
- 'ROMService_Support' %APPDATA%\Windows32\System_32.exe
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\2.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Allow Example" dir=in action=allow program="%APPDATA%\Windows32\System_32.exe"
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Microsoft\Internet Account Manager]
- [HKLM\Software\Wow6432Node\Microsoft\Windows Mail]
- [HKCU\Software\Microsoft\Windows Mail]
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2.exe
- %TEMP%\update\msimg32.$$a
- %TEMP%\update\i.$$a
- %TEMP%\update\config.$$a
- %TEMP%\update\system_32.$$a
- %TEMP%\update\test.$$a
- %APPDATA%\windows32\romserverlite123.txt
- nul
- %TEMP%\.vbs
- %APPDATA%\windows32\config.xml
- <Текущая директория>\77121000
Удаляет следующие файлы
- %TEMP%\update\i.vbs
- %APPDATA%\windows32\romserverlite123.txt
- %TEMP%\.vbs
- %TEMP%\2.exe
Перемещает следующие файлы
- %TEMP%\update\msimg32.$$a в %TEMP%\update\msimg32.dll
- %TEMP%\update\i.$$a в %TEMP%\update\i.vbs
- %TEMP%\update\config.$$a в %TEMP%\update\config.xml
- %TEMP%\update\system_32.$$a в %TEMP%\update\system_32.exe
- %TEMP%\update\test.$$a в %TEMP%\update\test.bat
- %TEMP%\update\system_32.exe в %APPDATA%\windows32\system_32.exe
- %TEMP%\update\config.xml в %APPDATA%\windows32\config.xml
- %TEMP%\update\msimg32.dll в %APPDATA%\windows32\msimg32.dll
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
Подключается к
- 's0#.#apfiles.ru':80
- '89.##8.101.61':5651
- 'sm##.mail.ru':465
- 'li###anager.ru':80
TCP
Запросы HTTP GET
- http://s0#.#apfiles.ru/files/1018578/2.jpg
- http://li###anager.ru/noip.txt
Другие
- 'sm##.mail.ru':465
UDP
- DNS ASK s0#.#apfiles.ru
- DNS ASK sm##.mail.ru
- DNS ASK li###anager.ru
Другое
Ищет следующие окна
- ClassName: 'InstItClass' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\Update\i.vbs"
- '%APPDATA%\windows32\system_32.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\.vbs"
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Update\test.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "sys" /t REG_SZ /d "%APPDATA%\Windows32\System_32.exe" /f
- '%WINDIR%\syswow64\timeout.exe' /T 9 /NOBREAK
- '%WINDIR%\syswow64\mode.com' con codepage select=1251
- '%WINDIR%\syswow64\timeout.exe' /T 6 /NOBREAK
