Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{7EE81F3A-C9AC-5CE4-D96E-578E9FCB692A}' = '"%APPDATA%\Noexsu\ywezb.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Noexsu\ywezb.exe'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' ext "%APPDATA%\Noexsu\ywezb.exe"
- '<SYSTEM32>\svchost.exe' "ext" "%APPDATA%\Noexsu\ywezb.exe"
- '<SYSTEM32>\svchost.exe' --HiddenServiceDir "%APPDATA%\tor\hidden_service" --HiddenServicePort "55080 127.0.0.1:55080"
- '<SYSTEM32>\svchost.exe' ext "<Полный путь к вирусу>"
- '<SYSTEM32>\svchost.exe' "ext" "<Полный путь к вирусу>"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\ctfmon.exe
следующие пользовательские процессы:
- AVP32.EXE
- AVPCC.EXE
- AVP.COM
- AVP.EXE
- AVPM.EXE
- bdss.exe
- bdsubmit.exe
- AVSYNMGR.EXE
- bdagent.exe
- aion.exe
- ash.exe
- 360tray.exe
- ageofconan.exe
- ashAvast.exe
- AVGCC32.EXE
- AVGCTRL.EXE
- ashAvSrv.exe
- avgcc.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\SOFTWARE\martin prikryl\winscp 2\sessions]
- [<HKLM>\SOFTWARE\martin prikryl\winscp 2\sessions]
- [<HKCU>\SOFTWARE\ftpware\coreftp\sites]
- [<HKCU>\SOFTWARE\Far2\Plugins\ftp\hosts]
- [<HKLM>\SOFTWARE\FlashFXP\3]
- [<HKCU>\SOFTWARE\Ghisler\Total Commander]
- [<HKCU>\SOFTWARE\Far\Plugins\ftp\hosts]
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp405e0034.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\checkip.dyndns[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\checkip.dyndns[2]
- %APPDATA%\Tehy\gecou.lua
- %APPDATA%\tor\state.tmp
- %APPDATA%\Noexsu\ywezb.exe
- %APPDATA%\tor\hidden_service\hostname.tmp
- %APPDATA%\tor\hidden_service\private_key.tmp
Перемещает следующие файлы:
- %APPDATA%\tor\hidden_service\hostname.tmp в %APPDATA%\tor\hidden_service\hostname
- %APPDATA%\tor\hidden_service\private_key.tmp в %APPDATA%\tor\hidden_service\private_key
- %APPDATA%\tor\state.tmp в %APPDATA%\tor\state
Самоудаляется.
Сетевая активность:
Подключается к:
- '12#.31.0.39':9101
- 'ch####p.dyndns.org':80
- 'localhost':1049
- 'localhost':9050
- 'localhost':42349
- '21#.#12.245.170':443
- 'localhost':1038
- '18.#.0.1':9
- '20#.#3.223.34':80
- '21#.#24.124.114':9090
TCP:
Запросы HTTP GET:
- ch####p.dyndns.org/
UDP:
- DNS ASK ch####p.dyndns.org
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
