Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RCT Start' = '%ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\afolder\Light Decor Paradyż 2.0.8.4.exe'
- '%ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.exe'
- '%TEMP%\afolder\test.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "midas.dll"
- '<SYSTEM32>\attrib.exe' +h %TEMP%\ytmp
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.01
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\{9FEC0EAE-EDF9-49C8-9A69-AD8F1338B25D}
- %TEMP%\{807EA94E-1B22-40C2-BF3C-EEBB1137D1EE}.ssk
- %TEMP%\{FE55D102-88F5-4182-979D-B3D8EFA7F278}.ssk
- %TEMP%\{0817A4F2-FA21-4D54-BB09-4C857D36EA5A}.ssk
- %TEMP%\{D5AD93AA-C1C1-475B-AE54-46D3593C67D3}
- %TEMP%\{A00A8870-0825-407C-AABC-5912AB83F381}.ssk
- %TEMP%\{DE46209E-C3CD-4407-A36A-50959A6925F2}
- %TEMP%\net2_paradyz.php
- %TEMP%\{A69C9457-BE71-42BF-A379-937BCD491627}
- %TEMP%\net2_info.txt
- %ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.exe
- %ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.00
- %TEMP%\ytmp\tmp20501.exe
- %TEMP%\afolder\test.exe
- %TEMP%\ytmp\tmp46641.bat
- %TEMP%\afolder\midas.dll
- %ALLUSERSPROFILE%\Application Data\PWX\RCT.004
- %TEMP%\afolder\Light Decor Paradyż 2.0.8.4.exe
- %ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.01
- %ALLUSERSPROFILE%\Application Data\YBUMTT\RCT.02
Удаляет следующие файлы:
- %TEMP%\{A69C9457-BE71-42BF-A379-937BCD491627}
- %TEMP%\{FE55D102-88F5-4182-979D-B3D8EFA7F278}.ssk
- %TEMP%\{807EA94E-1B22-40C2-BF3C-EEBB1137D1EE}.ssk
- %TEMP%\{A00A8870-0825-407C-AABC-5912AB83F381}.ssk
- %TEMP%\{DE46209E-C3CD-4407-A36A-50959A6925F2}
- %TEMP%\ytmp\tmp20501.exe
- %TEMP%\afolder\test.exe
- %TEMP%\{D5AD93AA-C1C1-475B-AE54-46D3593C67D3}
- %TEMP%\{9FEC0EAE-EDF9-49C8-9A69-AD8F1338B25D}
- %TEMP%\{0817A4F2-FA21-4D54-BB09-4C857D36EA5A}.ssk
Сетевая активность:
Подключается к:
- 'ne#####.cadprojekt.com.pl':80
TCP:
Запросы HTTP GET:
- ne#####.cadprojekt.com.pl/config/net2_paradyz.php
UDP:
- DNS ASK ne#####.cadprojekt.com.pl
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'AKLMW'
