Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
- '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\sYIoAoYQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\TsAIYkIY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\lAkAwUgQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\YeEocsIk.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\vIccAowM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\mCIgoQAw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\lSwQEQwg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\OUEwMwws.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\SygIsYAc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' /c "<Текущая директория>\<Имя вируса>"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\EuMocMMw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\hkQUYMIs.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\wOYIAooQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\XyMwsIsk.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RoEYEcwg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\BMQEQwws.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\GYksgAEA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\wGocsYYM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\kQQQwocQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\UowIEscA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\JQEEMYME.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\sEQEoQoo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\VoQQAEsA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tCEkMQIc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\xMgMowow.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\OuggQwUw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\GKQoIkcs.bat" "<Полный путь к вирусу>""
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\reg.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\HocA.ico
- %TEMP%\WoYMQkEA.bat
- C:\RCX12.tmp
- <Текущая директория>\kwAY.exe
- C:\RCX11.tmp
- <Текущая директория>\Vogu.exe
- %TEMP%\TsAIYkIY.bat
- %TEMP%\tGokAsQU.bat
- %TEMP%\sYIoAoYQ.bat
- %TEMP%\QGAUAkQc.bat
- %TEMP%\YeEocsIk.bat
- <Текущая директория>\Joge.exe
- <Текущая директория>\YEsU.ico
- <Текущая директория>\IQoI.ico
- %TEMP%\KSogUMwc.bat
- C:\RCX13.tmp
- <Текущая директория>\UwYO.exe
- <Текущая директория>\MiUo.ico
- <Текущая директория>\jUog.exe
- <Текущая директория>\Fgkw.ico
- %TEMP%\XGoUYokM.bat
- C:\RCXE.tmp
- C:\RCXD.tmp
- <Текущая директория>\vIkE.exe
- %TEMP%\vIccAowM.bat
- %TEMP%\YAoUwwcI.bat
- <Текущая директория>\fQcE.ico
- %TEMP%\daAAosMc.bat
- <Текущая директория>\rcQG.exe
- %TEMP%\lSwQEQwg.bat
- C:\RCX10.tmp
- C:\RCXF.tmp
- <Текущая директория>\qIsO.exe
- <Текущая директория>\iaIg.ico
- %TEMP%\OUEwMwws.bat
- C:\RCX19.tmp
- <Текущая директория>\KEwW.exe
- %TEMP%\AKwUkUcY.bat
- %TEMP%\SygIsYAc.bat
- %TEMP%\TogcMoUQ.bat
- C:\RCX18.tmp
- <Текущая директория>\xEUQ.ico
- %TEMP%\wOYIAooQ.bat
- <Текущая директория>\lacI.ico
- <Текущая директория>\sEUM.exe
- <Текущая директория>\ekkg.ico
- %TEMP%\vescQoUg.bat
- C:\RCX1B.tmp
- C:\RCX1A.tmp
- <Текущая директория>\bUom.exe
- %TEMP%\jqwYwEYs.bat
- %TEMP%\EuMocMMw.bat
- <Текущая директория>\dIUg.exe
- <Текущая директория>\EsYI.exe
- <Текущая директория>\FYsg.ico
- %TEMP%\GmsEscAc.bat
- C:\RCX15.tmp
- C:\RCX14.tmp
- %TEMP%\lAkAwUgQ.bat
- %TEMP%\hkQUYMIs.bat
- %TEMP%\fwEccMgU.bat
- <Текущая директория>\hiIU.ico
- %TEMP%\XyMwsIsk.bat
- <Текущая директория>\oswo.exe
- <Текущая директория>\eUEI.ico
- C:\RCX17.tmp
- C:\RCX16.tmp
- <Текущая директория>\HUYe.exe
- %TEMP%\KUoAAUII.bat
- <Текущая директория>\AmMc.ico
- %TEMP%\xMgMowow.bat
- %TEMP%\QQYsocQw.bat
- <Текущая директория>\NgcU.exe
- <Текущая директория>\MmIE.ico
- <Текущая директория>\BUIw.exe
- <Текущая директория>\Haow.ico
- %TEMP%\GYksgAEA.bat
- C:\RCX3.tmp
- %TEMP%\UaEUMoow.bat
- %TEMP%\GKQoIkcs.bat
- <Текущая директория>\OQwM.exe
- %TEMP%\CwEIocUI.bat
- C:\RCX5.tmp
- %TEMP%\tCEkMQIc.bat
- C:\RCX4.tmp
- <Текущая директория>\PGkg.ico
- %TEMP%\EqMIUMQw.bat
- %TEMP%\rEQggoIE.bat
- <Текущая директория>\MuAg.ico
- %TEMP%\kQQQwocQ.bat
- %TEMP%\file.vbs
- <Текущая директория>\dUgc.exe
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- <Текущая директория>\<Имя вируса>
- %TEMP%\cCYgcQAs.bat
- C:\RCX1.tmp
- <Текущая директория>\NUUA.ico
- %TEMP%\wGocsYYM.bat
- C:\RCX2.tmp
- <Текущая директория>\SYUG.exe
- %TEMP%\BMQEQwws.bat
- %TEMP%\tIEMskAg.bat
- %ALLUSERSPROFILE%\casg.txt
- %TEMP%\QQcIMMIE.bat
- <Текущая директория>\eiAc.ico
- %TEMP%\QScwgwQg.bat
- C:\RCXB.tmp
- <Текущая директория>\oUcy.exe
- <Текущая директория>\FMcw.exe
- <Текущая директория>\BgEM.ico
- C:\RCXA.tmp
- %TEMP%\VoQQAEsA.bat
- %TEMP%\YMQkYMgQ.bat
- C:\RCXC.tmp
- <Текущая директория>\rcUw.exe
- <Текущая директория>\CGMU.ico
- %TEMP%\mCIgoQAw.bat
- %TEMP%\RoEYEcwg.bat
- %TEMP%\sEQEoQoo.bat
- <Текущая директория>\FOAs.ico
- %TEMP%\uEsgMgsU.bat
- %TEMP%\GIEgwcEY.bat
- <Текущая директория>\CIcA.exe
- <Текущая директория>\qsAo.ico
- %TEMP%\JOcgQgkQ.bat
- C:\RCX7.tmp
- <Текущая директория>\IEAu.exe
- <Текущая директория>\ecQw.ico
- %TEMP%\OuggQwUw.bat
- C:\RCX6.tmp
- %TEMP%\JQEEMYME.bat
- <Текущая директория>\TCgU.ico
- %TEMP%\UowIEscA.bat
- C:\RCX9.tmp
- <Текущая директория>\cMMq.exe
- <Текущая директория>\uUIE.exe
- <Текущая директория>\IGkQ.ico
- C:\RCX8.tmp
- %TEMP%\digYQocE.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- %ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
- %HOMEPATH%\fCkYUMIQ\pUccUkoM.exe
Удаляет следующие файлы:
- %TEMP%\WoYMQkEA.bat
- <Текущая директория>\kwAY.exe
- <Текущая директория>\Vogu.exe
- <Текущая директория>\MiUo.ico
- <Текущая директория>\HocA.ico
- <Текущая директория>\UwYO.exe
- <Текущая директория>\IQoI.ico
- %TEMP%\KSogUMwc.bat
- %TEMP%\QGAUAkQc.bat
- %TEMP%\tGokAsQU.bat
- <Текущая директория>\Fgkw.ico
- %TEMP%\XGoUYokM.bat
- <Текущая директория>\CGMU.ico
- <Текущая директория>\jUog.exe
- <Текущая директория>\qIsO.exe
- <Текущая директория>\rcQG.exe
- <Текущая директория>\iaIg.ico
- <Текущая директория>\fQcE.ico
- %TEMP%\daAAosMc.bat
- %TEMP%\fwEccMgU.bat
- %TEMP%\TogcMoUQ.bat
- <Текущая директория>\KEwW.exe
- <Текущая директория>\dIUg.exe
- <Текущая директория>\eUEI.ico
- <Текущая директория>\xEUQ.ico
- <Текущая директория>\lacI.ico
- %TEMP%\jqwYwEYs.bat
- %TEMP%\AKwUkUcY.bat
- <Текущая директория>\bUom.exe
- <Текущая директория>\AmMc.ico
- <Текущая директория>\EsYI.exe
- %TEMP%\GmsEscAc.bat
- <Текущая директория>\Joge.exe
- <Текущая директория>\YEsU.ico
- <Текущая директория>\FYsg.ico
- %TEMP%\KUoAAUII.bat
- <Текущая директория>\oswo.exe
- <Текущая директория>\HUYe.exe
- <Текущая директория>\hiIU.ico
- <Текущая директория>\vIkE.exe
- <Текущая директория>\NgcU.exe
- %TEMP%\EqMIUMQw.bat
- <Текущая директория>\Haow.ico
- %TEMP%\UaEUMoow.bat
- <Текущая директория>\MmIE.ico
- %TEMP%\CwEIocUI.bat
- <Текущая директория>\IEAu.exe
- <Текущая директория>\OQwM.exe
- <Текущая директория>\PGkg.ico
- <Текущая директория>\BUIw.exe
- <Текущая директория>\dUgc.exe
- %TEMP%\QQcIMMIE.bat
- %TEMP%\cCYgcQAs.bat
- %TEMP%\tIEMskAg.bat
- <Текущая директория>\MuAg.ico
- %TEMP%\rEQggoIE.bat
- %TEMP%\QQYsocQw.bat
- <Текущая директория>\SYUG.exe
- <Текущая директория>\NUUA.ico
- <Текущая директория>\ecQw.ico
- %TEMP%\YMQkYMgQ.bat
- <Текущая директория>\oUcy.exe
- %TEMP%\QScwgwQg.bat
- <Текущая директория>\BgEM.ico
- <Текущая директория>\eiAc.ico
- <Текущая директория>\FOAs.ico
- %TEMP%\YAoUwwcI.bat
- %TEMP%\uEsgMgsU.bat
- <Текущая директория>\rcUw.exe
- <Текущая директория>\FMcw.exe
- <Текущая директория>\qsAo.ico
- %TEMP%\digYQocE.bat
- %TEMP%\JOcgQgkQ.bat
- <Текущая директория>\CIcA.exe
- <Текущая директория>\uUIE.exe
- %TEMP%\GIEgwcEY.bat
- <Текущая директория>\TCgU.ico
- <Текущая директория>\IGkQ.ico
- <Текущая директория>\cMMq.exe
Перемещает следующие файлы:
- C:\RCX11.tmp в <Текущая директория>\Vogu.exe
- C:\RCX12.tmp в <Текущая директория>\kwAY.exe
- C:\RCX13.tmp в <Текущая директория>\UwYO.exe
- C:\RCXE.tmp в <Текущая директория>\jUog.exe
- C:\RCXF.tmp в <Текущая директория>\qIsO.exe
- C:\RCX10.tmp в <Текущая директория>\rcQG.exe
- C:\RCX14.tmp в <Текущая директория>\Joge.exe
- C:\RCX18.tmp в <Текущая директория>\dIUg.exe
- C:\RCX19.tmp в <Текущая директория>\KEwW.exe
- C:\RCX1A.tmp в <Текущая директория>\bUom.exe
- C:\RCX15.tmp в <Текущая директория>\EsYI.exe
- C:\RCX16.tmp в <Текущая директория>\HUYe.exe
- C:\RCX17.tmp в <Текущая директория>\oswo.exe
- C:\RCX4.tmp в <Текущая директория>\NgcU.exe
- C:\RCX5.tmp в <Текущая директория>\OQwM.exe
- C:\RCX6.tmp в <Текущая директория>\IEAu.exe
- C:\RCX1.tmp в <Текущая директория>\dUgc.exe
- C:\RCX2.tmp в <Текущая директория>\SYUG.exe
- C:\RCX3.tmp в <Текущая директория>\BUIw.exe
- C:\RCX7.tmp в <Текущая директория>\CIcA.exe
- C:\RCXB.tmp в <Текущая директория>\oUcy.exe
- C:\RCXC.tmp в <Текущая директория>\rcUw.exe
- C:\RCXD.tmp в <Текущая директория>\vIkE.exe
- C:\RCX8.tmp в <Текущая директория>\uUIE.exe
- C:\RCX9.tmp в <Текущая директория>\cMMq.exe
- C:\RCXA.tmp в <Текущая директория>\FMcw.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '19#.#86.45.170':9999
- '74.##5.232.51':80
- '20#.#7.164.69':9999
- '20#.#19.204.12':9999
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
UDP:
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'pUccUkoM.exe'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: 'aeEkEEcE.exe'
