Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\7za.exe' a -t7z C:\Upload\CRNJEUFU_12-25-2014_16786.7z C:\Upload\
- '%TEMP%\1.tmp\7za.exe' a -t7z C:\Upload\Search_CRNJEUFU_12-25-2014_22266 %HOMEPATH%\search-tool-techfrk\
- '%TEMP%\1.tmp\7za.exe' a -t7z C:\Upload\RegQuery1_CRNJEUFU_12-25-2014_15916.7z %HOMEPATH%\regquery-techfrk\
Запускает на исполнение:
- '<SYSTEM32>\ftp.exe' -s:"%TEMP%\1.tmp\ftpscript.ftp"
- '<SYSTEM32>\netsh.exe' firewall set opmode enable
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\uploadlog-if-else.bat" "
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
Изменения в файловой системе:
Создает следующие файлы:
- C:\Upload\Search_CRNJEUFU_12-25-2014_22266.7z
- C:\Upload\CRNJEUFU_12-25-2014_16786.7z
- %TEMP%\1.tmp\ftpscript.ftp
- %TEMP%\1.tmp\uploadlog-if-else.bat
- %TEMP%\1.tmp\7za.exe
- C:\Upload\RegQuery1_CRNJEUFU_12-25-2014_15916.7z
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'ft#.##icdgraham.com':21
- 'localhost':1038
UDP:
- DNS ASK ft#.##icdgraham.com
