Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'system' = '%APPDATA%\system32\system.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '69b0b14c7c87cb21651e3eb81a6966fc' = '"%WINDIR%\java.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '69b0b14c7c87cb21651e3eb81a6966fc' = '"%WINDIR%\java.exe" ..'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe system_d.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'system_d' = '<SYSTEM32>\system_d.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'system_d' = '%WINDIR%\system_d.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\O9xERrHWtNMzrn4pAuC11ekVyKsn.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\autorun.inf.lnk
- <Имя диска съемного носителя>:\system_d.exe.lnk
- <Имя диска съемного носителя>:\system32.exe
- <Имя диска съемного носителя>:\system_d.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\java.exe' = '%WINDIR%\java.exe:*:Enabled:java.exe'
Создает и запускает на исполнение:
- '%WINDIR%\system-d.exe'
- '%TEMP%\java\system.exe' -n
- '%TEMP%\wifi7.exe'
- '%WINDIR%\java.exe'
- 'C:\install\win.exe'
- '%APPDATA%\system32\system.exe'
- '%TEMP%\wifi3.exe'
- '%TEMP%\wifi2.exe'
- '%TEMP%\wifi1.exe'
- '%TEMP%\wifi6.exe'
- '%TEMP%\wifi5.exe'
- '%TEMP%\wifi4.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%WINDIR%\java.exe" "java.exe" ENABLE
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Paltalk]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\melt.Tmp
- %WINDIR%\system_d.exe
- %TEMP%\autA.tmp
- <SYSTEM32>\system_d.exe
- C:\install\win.exe
- %TEMP%\XX--XX--XX.txt
- %APPDATA%\system32\system.exe
- %WINDIR%\system-d.exe
- %TEMP%\XxX.xXx
- %TEMP%\UuU.uUu
- %WINDIR%\java.exe
- C:\autorun.inf
- %TEMP%\autB.tmp
- %WINDIR%\autorun.inf
- C:\system_d.exe
- %TEMP%\aut3.tmp
- %TEMP%\wifi3.exe
- %TEMP%\aut4.tmp
- %TEMP%\wifi2.exe
- %TEMP%\aut1.tmp
- %TEMP%\wifi1.exe
- %TEMP%\aut2.tmp
- %TEMP%\wifi4.exe
- %TEMP%\aut7.tmp
- %TEMP%\wifi7.exe
- %TEMP%\java\system.exe
- %TEMP%\wifi6.exe
- %TEMP%\aut5.tmp
- %TEMP%\wifi5.exe
- %TEMP%\aut6.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\system_d.exe
- <Имя диска съемного носителя>:\system32.exe
- %TEMP%\java\system.exe
- C:\autorun.inf
- C:\system_d.exe
Удаляет следующие файлы:
- %TEMP%\XX--XX--XX.txt
- %TEMP%\autB.tmp
- %TEMP%\autA.tmp
- %TEMP%\XxX.xXx
- %APPDATA%\system32\system.exe
- %TEMP%\UuU.uUu
- %TEMP%\aut7.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut4.tmp
Сетевая активность:
Подключается к:
- 'localhost':1515
- 'ka####n.no-ip.info':5243
- 'ka####n.no-ip.info':1515
UDP:
- DNS ASK ka####n.no-ip.info
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_traywnd' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
