Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\xsogctev.exe' = '<SYSTEM32>\xsogctev.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\yufthbsn.exe' = '<SYSTEM32>\yufthbsn.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\tzbpmydt.exe' = '<SYSTEM32>\tzbpmydt.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\vhzkpblp.exe' = '<SYSTEM32>\vhzkpblp.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\gteijkgd.exe' = '<SYSTEM32>\gteijkgd.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\wlrottku.exe' = '<SYSTEM32>\wlrottku.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\jrssahmp.exe' = '<SYSTEM32>\jrssahmp.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\znkngosy.exe' = '<SYSTEM32>\znkngosy.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\fhzlyofn.exe' = '<SYSTEM32>\fhzlyofn.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\zzwfgmyh.exe' = '<SYSTEM32>\zzwfgmyh.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\whvqsikq.exe' = '<SYSTEM32>\whvqsikq.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\zjcrrtev.exe' = '<SYSTEM32>\zjcrrtev.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\guhnivha.exe' = '<SYSTEM32>\guhnivha.exe:*:Enabled:Microsoft (R) Internetal IExplore'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\yzdzaqjz.exe' = '<SYSTEM32>\yzdzaqjz.exe:*:Enabled:Microsoft (R) Internetal IExplore'
Создает и запускает на исполнение:
- '<SYSTEM32>\vhzkpblp.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v DisableNotifications /t REG_DWORD /d 1 /f
- '<SYSTEM32>\tzbpmydt.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\fhzlyofn.exe" /t REG_SZ /d "<SYSTEM32>\fhzlyofn.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\fhzlyofn.exe'
- '<SYSTEM32>\whvqsikq.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v EnableFirewall /t REG_DWORD /d 0 /f
- '<SYSTEM32>\znkngosy.exe'
- '<SYSTEM32>\xsogctev.exe' /pid=2912
- '<SYSTEM32>\szlkzhqu.exe'
- '<SYSTEM32>\tzbpmydt.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v DoNotAllowExceptions /t REG_DWORD /d 0 /f
- '<SYSTEM32>\whvqsikq.exe' /pid=3708
- '<SYSTEM32>\xsogctev.exe' /pid=3444
- '<SYSTEM32>\jrssahmp.exe'
- '<SYSTEM32>\whvqsikq.exe'
- '<SYSTEM32>\zjcrrtev.exe'
- '<SYSTEM32>\yzdzaqjz.exe'
- '<SYSTEM32>\zzwfgmyh.exe'
- '<SYSTEM32>\guhnivha.exe'
- '<SYSTEM32>\tzbpmydt.exe'
- '<SYSTEM32>\yzdzaqjz.exe' /pid=3496
- '<SYSTEM32>\gteijkgd.exe'
- '<SYSTEM32>\yufthbsn.exe'
- '<SYSTEM32>\vhzkpblp.exe'
- '<SYSTEM32>\xsogctev.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\gteijkgd.exe" /t REG_SZ /d "<SYSTEM32>\gteijkgd.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' /pid=3792
- '<SYSTEM32>\reg.exe' /pid=3744
- '<SYSTEM32>\reg.exe' /pid=3540
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\yufthbsn.exe" /t REG_SZ /d "<SYSTEM32>\yufthbsn.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' /pid=3584
- '<SYSTEM32>\reg.exe'
- '<SYSTEM32>\reg.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\jrssahmp.exe" /t REG_SZ /d "<SYSTEM32>\jrssahmp.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' /pid=3112
- '<SYSTEM32>\reg.exe' /pid=3436
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\wlrottku.exe" /t REG_SZ /d "<SYSTEM32>\wlrottku.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\znkngosy.exe" /t REG_SZ /d "<SYSTEM32>\znkngosy.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\fhzlyofn.exe" /t REG_SZ /d "<SYSTEM32>\fhzlyofn.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v DisableNotifications /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\zzwfgmyh.exe" /t REG_SZ /d "<SYSTEM32>\zzwfgmyh.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\guhnivha.exe" /t REG_SZ /d "<SYSTEM32>\guhnivha.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\yzdzaqjz.exe" /t REG_SZ /d "<SYSTEM32>\yzdzaqjz.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<Полный путь к вирусу>" /t REG_SZ /d "<Полный путь к вирусу>:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v DisableNotifications /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v EnableFirewall /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v DoNotAllowExceptions /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' /pid=3068
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\xsogctev.exe" /t REG_SZ /d "<SYSTEM32>\xsogctev.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v EnableFirewall /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\vhzkpblp.exe" /t REG_SZ /d "<SYSTEM32>\vhzkpblp.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\whvqsikq.exe" /t REG_SZ /d "<SYSTEM32>\whvqsikq.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\zjcrrtev.exe" /t REG_SZ /d "<SYSTEM32>\zjcrrtev.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "<SYSTEM32>\tzbpmydt.exe" /t REG_SZ /d "<SYSTEM32>\tzbpmydt.exe:*:Enabled:Microsoft (R) Internetal IExplore" /f
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\reg.exe
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\gteijkgd.exe
- <SYSTEM32>\znkngosy.exe
- <SYSTEM32>\xsogctev.exe
- <SYSTEM32>\yufthbsn.exe
- <SYSTEM32>\jrssahmp.exe
- <SYSTEM32>\szlkzhqu.exe
- <SYSTEM32>\fhzlyofn.exe
- <SYSTEM32>\wlrottku.exe
- <SYSTEM32>\vhzkpblp.exe
- <SYSTEM32>\zzwfgmyh.exe
- <SYSTEM32>\guhnivha.exe
- <SYSTEM32>\MSWINSCK.ocx
- <SYSTEM32>\zjcrrtev.exe
- <SYSTEM32>\tzbpmydt.exe
- <SYSTEM32>\yzdzaqjz.exe
- <SYSTEM32>\whvqsikq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\znkngosy.exe
- <SYSTEM32>\gteijkgd.exe
- <SYSTEM32>\yufthbsn.exe
- <SYSTEM32>\fhzlyofn.exe
- <SYSTEM32>\szlkzhqu.exe
- <SYSTEM32>\jrssahmp.exe
- <SYSTEM32>\wlrottku.exe
- <SYSTEM32>\xsogctev.exe
- <SYSTEM32>\yzdzaqjz.exe
- <SYSTEM32>\guhnivha.exe
- <SYSTEM32>\zzwfgmyh.exe
- <SYSTEM32>\whvqsikq.exe
- <SYSTEM32>\vhzkpblp.exe
- <SYSTEM32>\tzbpmydt.exe
- <SYSTEM32>\zjcrrtev.exe
Удаляет следующие файлы:
- %TEMP%\~DF3634.tmp
- %TEMP%\~DF232F.tmp
- %TEMP%\~DF6164.tmp
- %TEMP%\~DF5AC1.tmp
- %TEMP%\~DFCD46.tmp
- %TEMP%\~DFBD79.tmp
- %TEMP%\~DFFF5E.tmp
- %TEMP%\~DFF3CF.tmp
- %TEMP%\~DF861D.tmp
- %TEMP%\~DFC52E.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mswinsck[1].ocx
- %TEMP%\~DF9865.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mswinsck[1].ocx
- %TEMP%\~DFB125.tmp
- %TEMP%\~DF8CA9.tmp
- %TEMP%\~DFDBA2.tmp
- %TEMP%\~DFB7D0.tmp
Сетевая активность:
Подключается к:
- 'localhost':1069
- 'localhost':1072
- 'localhost':1063
- 'localhost':1066
- 'localhost':1081
- 'localhost':1084
- 'localhost':1075
- 'localhost':1078
- 'localhost':1060
- 'localhost':1042
- 'localhost':1045
- 'localhost':1036
- 'pd###.egloos.com':80
- 'localhost':1054
- 'localhost':1057
- 'localhost':1048
- 'localhost':1051
TCP:
Запросы HTTP GET:
- pd###.egloos.com/pds/201304/27/64/mswinsck.ocx
UDP:
- DNS ASK pd###.egloos.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
