Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\desktop.ini
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы
- <DRIVERS>\wdboot.sys.bak
- <DRIVERS>\wdfilter.sys.bak
- <DRIVERS>\wdnisdrv.sys.bak
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\xex_readme.txt
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Системный антивирус (Защитник Windows)
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM avp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avpui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM bdagent.exe
- '<SYSTEM32>\taskkill.exe' /F /IM vsserv.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avguard.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avastui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM mbam.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msmpeng.exe
- '<SYSTEM32>\taskkill.exe' /F /IM nortonsecurity.exe
- '<SYSTEM32>\taskkill.exe' /F /IM symcorpui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM mcshield.exe
- '<SYSTEM32>\taskkill.exe' /F /IM mfeann.exe
- '<SYSTEM32>\taskkill.exe' /F /IM engineserver.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ekrn.exe
- '<SYSTEM32>\taskkill.exe' /F /IM egui.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ccsvchst.exe
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %APPDATA%\thunderbird\profiles.ini
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\tree_view.html
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- nul
- %WINDIR%\temp\1bea7f5b-ecda-4050-9803-91a071a66ffe
- %WINDIR%\temp\ae08f882-d3e3-45b3-81f8-aa8ac6176f00
- %WINDIR%\temp\45f89169-51e4-4c12-bdfe-c741ba2b7a93
- %WINDIR%\temp\457587e8-3c28-46db-b8c8-c7a728050b4b
- %WINDIR%\temp\941f9015-20ec-41ec-97ba-918e8bffcd1d
- <SYSTEM32>\spool\drivers\x64\3\new\tty.gpd
- <SYSTEM32>\spool\drivers\x64\pcc\prnge001.inf_amd64_1daeee8f3aa30fcb.cab
- <SYSTEM32>\spool\drivers\x64\3\new\ttyres.dll
- <SYSTEM32>\spool\drivers\x64\3\new\tty.ini
- <SYSTEM32>\spool\drivers\x64\3\new\tty.dll
- <SYSTEM32>\spool\drivers\x64\3\new\ttyui.dll
- <SYSTEM32>\spool\drivers\x64\3\new\ttyui.hlp
- C:\xex_readme.txt
- D:\xex_readme.txt
- %TEMP%\wallpaper.jpg
- <SYSTEM32>\spool\drivers\x64\3\tty.ini
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\ae08f882-d3e3-45b3-81f8-aa8ac6176f00
- %WINDIR%\temp\1bea7f5b-ecda-4050-9803-91a071a66ffe
- %WINDIR%\temp\45f89169-51e4-4c12-bdfe-c741ba2b7a93
- %WINDIR%\temp\941f9015-20ec-41ec-97ba-918e8bffcd1d
- %WINDIR%\temp\457587e8-3c28-46db-b8c8-c7a728050b4b
Перемещает следующие файлы
- <SYSTEM32>\spool\drivers\x64\3\new\tty.gpd в <SYSTEM32>\spool\drivers\x64\3\tty.gpd
- <SYSTEM32>\spool\drivers\x64\3\new\ttyres.dll в <SYSTEM32>\spool\drivers\x64\3\ttyres.dll
- <SYSTEM32>\spool\drivers\x64\3\new\tty.ini в <SYSTEM32>\spool\drivers\x64\3\tty.ini
- <SYSTEM32>\spool\drivers\x64\3\new\tty.dll в <SYSTEM32>\spool\drivers\x64\3\tty.dll
- <SYSTEM32>\spool\drivers\x64\3\new\ttyui.dll в <SYSTEM32>\spool\drivers\x64\3\ttyui.dll
- <SYSTEM32>\spool\drivers\x64\3\new\ttyui.hlp в <SYSTEM32>\spool\drivers\x64\3\ttyui.hlp
Изменяет следующие файлы
- D:\$recycle.bin\s-1-5-21-4226853953-3309226944-3078887307-1000\desktop.ini
- C:\$recycle.bin\s-1-5-21-4226853953-3309226944-3078887307-1000\desktop.ini
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\office64ww.xml
- <Имя диска съемного носителя>:\000814251_video_01.avi
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\proplusww.xml
- C:\msocache\all users\{90160000-0011-0000-0000-0000000ff1ce}-c\setup.xml
- C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\excelmui.xml
- <Имя диска съемного носителя>:\1189.jpg
- C:\msocache\all users\{90160000-0016-0409-0000-0000000ff1ce}-c\setup.xml
- <Имя диска съемного носителя>:\13.jpeg
- <Имя диска съемного носителя>:\13.jpg
- C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\powerpointmui.xml
- <Имя диска съемного носителя>:\168.jpg
- C:\msocache\all users\{90160000-0018-0409-0000-0000000ff1ce}-c\setup.xml
- %ProgramFiles%\java\jre1.8.0_77\readme.txt
- %ProgramFiles%\java\jre1.8.0_77\thirdpartylicensereadme-javafx.txt
- %ProgramFiles%\java\jre1.8.0_77\thirdpartylicensereadme.txt
- %ProgramFiles%\java\jre1.8.0_77\bin\server\xusage.txt
- %ProgramFiles%\java\jre1.8.0_77\lib\amd64\jvm.cfg
- %ProgramFiles%\java\jre1.8.0_77\lib\jvm.hprof.txt
- %ProgramFiles%\microsoft office\office16\1033\mso example intl setup file a.txt
- %ProgramFiles%\microsoft office\office16\1033\mso example intl setup file b.txt
- %ProgramFiles%\microsoft office\office16\mso example setup file a.txt
- %ProgramFiles%\microsoft office\office16\onenote\sendtoonenote-manifest.ini
- %ProgramFiles%\microsoft office\office16\onenote\sendtoonenote.ini
- %ProgramFiles%\mozilla firefox\application.ini
- %ProgramFiles%\mozilla firefox\browser\crashreporter-override.ini
- %ProgramFiles%\mozilla firefox\browser\override.ini
- %ProgramFiles%\mozilla firefox\crashreporter.ini
- %ProgramFiles%\mozilla firefox\defaultagent.ini
Изменяет множество файлов.
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'di##ord.com':443
- 'th.bing.com':443
TCP
Другие
- 'ap#.#pify.org':443
- 'di##ord.com':443
- 'th.bing.com':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK di##ord.com
- DNS ASK th.bing.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\sc.exe' stop WinDefend (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop Sense (со скрытым окном)
- '<SYSTEM32>\sc.exe' config Sense start= disabled (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' printui.dll,PrintUIEntry /ia /m "Generic / Text Only" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {bootmgr} path \EFI\Custom\malicious.efi (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net use * /delete /y (со скрытым окном)
- '<SYSTEM32>\net.exe' use * /delete /y
- '<SYSTEM32>\sc.exe' config LanmanServer start= auto (со скрытым окном)
- '<SYSTEM32>\sc.exe' start LanmanServer (со скрытым окном)
- '<SYSTEM32>\notepad.exe' C:\XEX_README.txt
- '<SYSTEM32>\notepad.exe' D:\XEX_README.txt
- '<SYSTEM32>\notepad.exe' <Имя диска съемного носителя>:\XEX_README.txt
- '<SYSTEM32>\wbem\wmic.exe' shadowcopy delete (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM avp.exe (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' delete shadows /for=C: /all /quiet (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' delete shadows /for=D: /all /quiet (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} recoveryenabled no (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM avpui.exe (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' delete shadows /for=E: /all /quiet (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM bdagent.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM vsserv.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM avguard.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM avgui.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM avastui.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM mbam.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM msmpeng.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM nortonsecurity.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM symcorpui.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM mcshield.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM mfeann.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM engineserver.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ekrn.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM egui.exe (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ccsvchst.exe (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {current} recoveryenabled no (со скрытым окном)
- '<SYSTEM32>\netsh.exe' firewall set opmode disable (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off (со скрытым окном)
