Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '08f4dc96bbb7af09d1a37fe35c75a42f' = '"%TEMP%\explorer.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '08f4dc96bbb7af09d1a37fe35c75a42f' = '"%TEMP%\explorer.exe" ..'
Изменяет следующие исполняемые системные файлы:
- %WINDIR%\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\UPnP Device Host\upnphost\udhisapi.dll
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\explorer.exe'
- '<SYSTEM32>\MKhgYK.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\explorer.exe" "explorer.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{88126DA6-D560-4B0A-8525-0692271443BD}.jpg
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Small.jpg
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Large.jpg
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{AB5E9606-EB27-4B3B-823A-5A404FF4D847}.jpg
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\BOWDBRP7\getmdrcdposturlbackground[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YF7T7AK2\getmdrcdposturlbackground[1]
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\getmdrcdbackground[1]
- C:\Users\Public\Music\Sample Music\Folder.jpg
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\5NET6S62NRU6OQWIC5MF.temp
- <SYSTEM32>\MKhgYK.exe
- <SYSTEM32>\SEX ARABC MOM AND SUN-REAL.mp4
- C:\Users\Public\Music\Sample Music\AlbumArtSmall.jpg
- %APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\08f4dc96bbb7af09d1a37fe35c75a42f.exe
- %TEMP%\explorer.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Small.jpg
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{88126DA6-D560-4B0A-8525-0692271443BD}.jpg
- <LS_APPDATA>\Microsoft\Media Player\Art Cache\LocalMLS\{AB5E9606-EB27-4B3B-823A-5A404FF4D847}.jpg
- C:\Users\Public\Music\Sample Music\AlbumArtSmall.jpg
- C:\Users\Public\Music\Sample Music\Folder.jpg
- C:\Users\Public\Music\Sample Music\AlbumArt_{5FA05D35-A682-4AF6-96F7-0773E42D4D16}_Large.jpg
Перемещает следующие файлы:
- %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\5NET6S62NRU6OQWIC5MF.temp в %APPDATA%\Roaming\Microsoft\Windows\Recent\CustomDestinations\74d7f43c1561fc1e.customDestinations-ms
Сетевая активность:
Подключается к:
- '20#.#6.232.182':80
- 'localhost':53287
- 'ht###.myvnc.com':9999
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/redir/getmdrcdposturlbackground/?lo#######################################################################################################
- 20#.#6.232.182/redir/getmdrcdbackground/?lo##################################################################################################
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK re###.####services.microsoft.com
- DNS ASK ht###.myvnc.com
- '23#.#55.255.250':1900
Другое:
Ищет следующие окна:
- ClassName: 'Type32_Main_Window' WindowName: '(null)'
- ClassName: 'WMPlayerApp' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
