Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ql600oko] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\swoko] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<Полный путь к вирусу>.exe' /justoko
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' start "swoko"
- '<SYSTEM32>\reg.exe' adD "hklm\SOfTwaRe\mIcrOSoFt\WiNdoWs nt\CURrENtveRSiOn\svcHoSt" /v termsvc /t rEg_mULti_sz /d "swoko\0" /f
- '<SYSTEM32>\reg.exe' adD "hkLm\sYsTEm\CuRrenTcoNtRoLSeT\seRvIcES\swoko" /v FailureActions /t rEG_BInaRY /d 00000000000000000000000003000000140000000100000060EA00000100000060EA00000100000060EA0000 /f
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\sc.exe' boot ok
- '<SYSTEM32>\svchost.exe' -k termsvc
- '<SYSTEM32>\reg.exe' adD "hkLm\sYsTEm\CuRrenTcoNtRoLSeT\seRvIcES\swoko\Parameters" /v ServiceDll /t ReG_EXpaND_Sz /d "<SYSTEM32>\clbcoko.dll" /f
- '<SYSTEM32>\reg.exe' aDd "hklm\SOFTWARE\Microsoft\Internet Explorer\Main" /v TP /t ReG_Sz /d 1000 /f
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\w3oko.bat"
- '<SYSTEM32>\cmd.exe' /c ""<Полный путь к вирусу>.exe" /justoko > "%TEMP%\w3oko.bat""
- '<SYSTEM32>\sc.exe' CreATe "swoko" tyPE= share start= auto binPaTh= "<SYSTEM32>\svchost.exe -k termsvc" DisplayName= "DHCP Shortcut List Redirector"
- '<SYSTEM32>\netsh.exe' fIrEwaLl aDD pOrToPEnIng tcP 8085 "MyOKOPort" eNABLe
- '<SYSTEM32>\netsh.exe' FIReWAlL Add allOweDPrOgrAm naMe="ST330 OKO service" prOGram="<SYSTEM32>\svchost.exe" mode=ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\w3oko.bat
- <DRIVERS>\mrxoko.sys
- <SYSTEM32>\clbcoko.dll
Удаляет следующие файлы:
- <Полный путь к вирусу>.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ze##iz.com':80
- 'localhost':8085
TCP:
Запросы HTTP GET:
- ze##iz.com/v50/?v=#################################
UDP:
- DNS ASK ze##iz.com
