Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Xray-Support' = '%PROGRAM_FILES%\X-Ray Imaging Support Tools\userinstall.exe'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\X-Ray Agent.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\X-Ray Imaging Support Tools\webserver.exe'
- '%PROGRAM_FILES%\X-Ray Imaging Support Tools\XrayImaging-Agent.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set portopening tcp 5500
- '<SYSTEM32>\netsh.exe' firewall set portopening tcp 8081
- '<SYSTEM32>\schtasks.exe' /create /tn "X-Ray Agent" /tr %PROGRAM_FILES%\X-Ray Imaging Support Tools\XrayImaging-Agent.exe /sc onstart /RU SYSTEM
- '<SYSTEM32>\netsh.exe' firewall set portopening tcp 5900
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\killprocesses.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\10meg[1].test
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\userinstall.exe
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\XrayImaging-Agent.exe
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\runasadmin.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\version[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\version[1].php
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\www\www.txt
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\www\10meg.test
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\www[1].txt
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\install.cmd
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\Registry-Patches.reg
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\kill_local_dns.reg
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\version.txt
- %TEMP%\nsc2.tmp
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\termserv.rdp
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\rpl.exe
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\webserver.exe
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\disable_NX.cmd
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\hosts
- %PROGRAM_FILES%\X-Ray Imaging Support Tools\XCACLS.vbs
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\version[1].php
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'ma######nt.webemail.com.au':80
- 'mi####.internode.on.net':80
TCP:
Запросы HTTP GET:
- ma######nt.webemail.com.au/cust/xray/version.php?GU###############################################################################################################################################################################################
- ma######nt.webemail.com.au/cust/xray/www.txt
- mi####.internode.on.net/pub/test/10meg.test
UDP:
- DNS ASK ma######nt.webemail.com.au
- DNS ASK mi####.internode.on.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
