Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkw' = '%APPDATA%\Roaming\msup14.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkwyfz' = '%APPDATA%\Roaming\msup15.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgz' = '%APPDATA%\Roaming\msup13.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocf' = '%APPDATA%\Roaming\msup11.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzev' = '%APPDATA%\Roaming\msup12.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkwyfzhrszkuymbzwg' = '%APPDATA%\Roaming\msup19.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkwyfzhrszkuymbzwgvnl' = '%APPDATA%\Roaming\msup20.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkwyfzhrszkuymb' = '%APPDATA%\Roaming\msup18.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkwyfzhrs' = '%APPDATA%\Roaming\msup16.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikhocfzevdgztkwyfzhrszku' = '%APPDATA%\Roaming\msup17.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsf' = '%APPDATA%\Roaming\msup4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfd' = '%APPDATA%\Roaming\msup5.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasf' = '%APPDATA%\Roaming\msup3.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwg' = '%APPDATA%\Roaming\msup1.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwja' = '%APPDATA%\Roaming\msup2.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjg' = '%APPDATA%\Roaming\msup9.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrabcjgikh' = '%APPDATA%\Roaming\msup10.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkbrab' = '%APPDATA%\Roaming\msup8.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayv' = '%APPDATA%\Roaming\msup6.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwgwjaasffsfpfdayvrkb' = '%APPDATA%\Roaming\msup7.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop MpsSvc
- '<SYSTEM32>\CACLS.exe' <Полный путь к вирусу> /E /G System:R
- '<SYSTEM32>\net.exe' stop MpsSvc
- '<SYSTEM32>\sc.exe' config MpsSvc start= disabled
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\msup13.exe
- %APPDATA%\Roaming\msup14.exe
- %APPDATA%\Roaming\msup12.exe
- %APPDATA%\Roaming\msup10.exe
- %APPDATA%\Roaming\msup11.exe
- %APPDATA%\Roaming\msup15.exe
- %APPDATA%\Roaming\msup19.exe
- %APPDATA%\Roaming\msup20.exe
- %APPDATA%\Roaming\msup18.exe
- %APPDATA%\Roaming\msup16.exe
- %APPDATA%\Roaming\msup17.exe
- %APPDATA%\Roaming\msup2.exe
- %APPDATA%\Roaming\msup3.exe
- %APPDATA%\Roaming\msup1.exe
- %APPDATA%\Roaming\register.txt
- %APPDATA%\Roaming\msup4.exe
- %APPDATA%\Roaming\msup8.exe
- %APPDATA%\Roaming\msup9.exe
- %APPDATA%\Roaming\msup7.exe
- %APPDATA%\Roaming\msup5.exe
- %APPDATA%\Roaming\msup6.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Roaming\msup14.exe
- %APPDATA%\Roaming\msup15.exe
- %APPDATA%\Roaming\msup13.exe
- %APPDATA%\Roaming\msup11.exe
- %APPDATA%\Roaming\msup12.exe
- %APPDATA%\Roaming\msup19.exe
- %APPDATA%\Roaming\msup20.exe
- %APPDATA%\Roaming\msup18.exe
- %APPDATA%\Roaming\msup16.exe
- %APPDATA%\Roaming\msup17.exe
- %APPDATA%\Roaming\msup4.exe
- %APPDATA%\Roaming\msup5.exe
- %APPDATA%\Roaming\msup3.exe
- %APPDATA%\Roaming\msup1.exe
- %APPDATA%\Roaming\msup2.exe
- %APPDATA%\Roaming\msup9.exe
- %APPDATA%\Roaming\msup10.exe
- %APPDATA%\Roaming\msup8.exe
- %APPDATA%\Roaming\msup6.exe
- %APPDATA%\Roaming\msup7.exe
Удаляет следующие файлы:
- %WINDIR%\Microsoft.NET\NETFXRepair.exe
- %TEMP%\~DFD52F022BFAB0E3A9.TMP
Сетевая активность:
Подключается к:
- '25#.#55.255.255':80
- 'localhost':5357
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK mi####easing.com
- 'localhost':62143
- 'localhost':57918
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
