Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Запускает на исполнение:
- '<SYSTEM32>\cscript.exe' /pid=3804
- '<SYSTEM32>\reg.exe' /pid=3968
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\NqEAEQQc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\eAIgsUAM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' /pid=272
- '<SYSTEM32>\reg.exe' /pid=3852
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\DyEcocoU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe'
- '<SYSTEM32>\reg.exe' /pid=2836
- '<SYSTEM32>\reg.exe' /pid=3116
- '<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\cscript.exe' /pid=3888
- '<SYSTEM32>\cscript.exe' /pid=2856
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\MgEgIMcQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\JokQQwsE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\cyYwEQck.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\nmgwEccc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\oMAYcsoA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\wacIIIIg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\egQIQIoc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\bmUIcsgM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\zysIQswA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\CKsgEcsc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\XsoAgEgs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\uyEcoEEw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\EoUUsIcM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\EKQEoskQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\VUkYYEQY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\BkEMswQM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\rkksEQwY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\KmkYMAoc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ESYswUgE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ywIAAkIQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RCkAYkEY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\KkMsgEsQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' /pid=3052
- '<SYSTEM32>\reg.exe' /pid=2808
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\XWogcwUY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\QIQUQAMo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' /pid=1152
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\DsYkIcAg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\qsYcoIAs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\fGEIUYAE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\agYQkUYE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\xkEsQYIc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\taskkill.exe' /FI "USERNAME eq %USERNAME%" /F /IM pUccUkoM.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\DooggMMU.bat" "<Полный путь к вирусу>""
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\reg.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\eAIgsUAM.bat
- %TEMP%\pKUEsQIg.bat
- %TEMP%\NqEAEQQc.bat
- %TEMP%\hCUEUgoM.bat
- %TEMP%\wwIQIgAA.bat
- %TEMP%\BSskwQws.bat
- %TEMP%\qksYoEEY.bat
- %TEMP%\zysIQswA.bat
- %TEMP%\bmUIcsgM.bat
- %TEMP%\DyEcocoU.bat
- %TEMP%\EoUUsIcM.bat
- %TEMP%\WOoEAoYc.bat
- C:\RCX1.tmp
- %TEMP%\QIQUQAMo.bat
- <Текущая директория>\bkwO.ico
- <Текущая директория>\YQkc.ico
- %TEMP%\gAEUwsYk.bat
- <Текущая директория>\NUoq.exe
- C:\RCX2.tmp
- %TEMP%\egQIQIoc.bat
- %TEMP%\oMAYcsoA.bat
- %TEMP%\GywMUAAc.bat
- %TEMP%\MgEgIMcQ.bat
- %TEMP%\XoAAckoo.bat
- %TEMP%\nmgwEccc.bat
- %TEMP%\XqUQQcEQ.bat
- %TEMP%\caYgAQos.bat
- %TEMP%\NysMIMQY.bat
- %TEMP%\cyYwEQck.bat
- %TEMP%\BcEcIkEo.bat
- %TEMP%\XsoAgEgs.bat
- %TEMP%\aMEosMEs.bat
- %TEMP%\uyEcoEEw.bat
- %TEMP%\iUAkIAsM.bat
- %TEMP%\CKsgEcsc.bat
- %TEMP%\rEAIwMYM.bat
- %TEMP%\JokQQwsE.bat
- %TEMP%\YckMUscs.bat
- %TEMP%\wacIIIIg.bat
- %TEMP%\VUkYYEQY.bat
- %TEMP%\juMwAYoU.bat
- %TEMP%\mKwMIwMg.bat
- %TEMP%\BkEMswQM.bat
- %TEMP%\EKQEoskQ.bat
- %TEMP%\ESYswUgE.bat
- %TEMP%\KmkYMAoc.bat
- %TEMP%\nogUoQIw.bat
- %TEMP%\ayQsEQcg.bat
- %TEMP%\niAwEAsM.bat
- <Текущая директория>\<Имя вируса>
- %TEMP%\KkMsgEsQ.bat
- %TEMP%\lCMQsYok.bat
- %TEMP%\caoMAAkU.bat
- %TEMP%\CIwcsYEA.bat
- %TEMP%\ywIAAkIQ.bat
- %TEMP%\RCkAYkEY.bat
- %TEMP%\file.vbs
- %TEMP%\aoYYAkgE.bat
- %TEMP%\soUEsMko.bat
- %TEMP%\XWogcwUY.bat
- %TEMP%\qWcQAYYM.bat
- %TEMP%\xkEsQYIc.bat
- %TEMP%\dOUckows.bat
- %TEMP%\IUoUAIIk.bat
- <Текущая директория>\PUkK.exe
- %TEMP%\DsYkIcAg.bat
- <Текущая директория>\KkYs.ico
- %TEMP%\hosMwUAM.bat
- %TEMP%\agYQkUYE.bat
- %TEMP%\sWskggwE.bat
- %TEMP%\rkksEQwY.bat
- %TEMP%\UGcQwUIk.bat
- %TEMP%\fGEIUYAE.bat
- %TEMP%\qsYcoIAs.bat
- %TEMP%\DooggMMU.bat
- %TEMP%\iMIYwskQ.bat
- %TEMP%\HCwkkUcI.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
- %HOMEPATH%\fCkYUMIQ\pUccUkoM.exe
Удаляет следующие файлы:
- %TEMP%\NqEAEQQc.bat
- %TEMP%\pKUEsQIg.bat
- %TEMP%\BSskwQws.bat
- %TEMP%\wwIQIgAA.bat
- %TEMP%\hCUEUgoM.bat
- %TEMP%\WOoEAoYc.bat
- <Текущая директория>\NUoq.exe
- %TEMP%\gAEUwsYk.bat
- <Текущая директория>\bkwO.ico
- %TEMP%\qksYoEEY.bat
- %TEMP%\GywMUAAc.bat
- %TEMP%\XoAAckoo.bat
- %TEMP%\XqUQQcEQ.bat
- %TEMP%\NysMIMQY.bat
- %TEMP%\BcEcIkEo.bat
- %TEMP%\aMEosMEs.bat
- %TEMP%\iUAkIAsM.bat
- %TEMP%\rEAIwMYM.bat
- %TEMP%\YckMUscs.bat
- <Текущая директория>\KkYs.ico
- %TEMP%\nogUoQIw.bat
- %TEMP%\juMwAYoU.bat
- %TEMP%\aoYYAkgE.bat
- %TEMP%\ayQsEQcg.bat
- %TEMP%\mKwMIwMg.bat
- %TEMP%\caoMAAkU.bat
- %TEMP%\lCMQsYok.bat
- %TEMP%\niAwEAsM.bat
- %TEMP%\CIwcsYEA.bat
- %TEMP%\UGcQwUIk.bat
- %TEMP%\dOUckows.bat
- %TEMP%\soUEsMko.bat
- <Текущая директория>\PUkK.exe
- %TEMP%\IUoUAIIk.bat
- %TEMP%\qWcQAYYM.bat
- %TEMP%\iMIYwskQ.bat
- %TEMP%\sWskggwE.bat
- %TEMP%\hosMwUAM.bat
- %TEMP%\HCwkkUcI.bat
Перемещает следующие файлы:
- C:\RCX2.tmp в <Текущая директория>\NUoq.exe
- C:\RCX1.tmp в <Текущая директория>\PUkK.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '19#.#86.45.170':9999
- '74.##5.232.51':80
- '20#.#7.164.69':9999
- '20#.#19.204.12':9999
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
UDP:
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Microsoft Windows'
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'pUccUkoM.exe'
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: 'aeEkEEcE.exe'
