Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HKCU' = ''
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{5460C4DF-B266-909E-CB58-E32B79832EB2}] 'StubPath' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,%PROGRAM_FILES%\ebaurodr\mhrhcrji.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '18.exe' = '%APPDATA%Microsoft\System\Services\18.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '18.exe' = '%APPDATA%Microsoft\System\Services\18.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HKLM' = ''
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\mhrhcrji.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\RECYCLER\S-4-8-22-0407151415-0885180045-668684408-5603\DZFhdboo.cpl
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\RECYCLER\S-4-8-22-0407151415-0885180045-668684408-5603\fQDMJnKL.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\InstallDir\Server.exe'
- '%ALLUSERSPROFILE%\Application Data\msconfigmgr.exe'
- '%ALLUSERSPROFILE%\Application Data\msconfig.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Windows\((Mutex)).dat
- %TEMP%\~TM2.tmp
- %PROGRAM_FILES%\Internet Explorer\dmlconf.dat
- %PROGRAM_FILES%\ebaurodr\mhrhcrji.exe
- %TEMP%\~TM1.tmp
- %APPDATA%Microsoft\System\Services\18.exe
- %ALLUSERSPROFILE%\Application Data\msconfig.exe
- %ALLUSERSPROFILE%\Application Data\msconfigmgr.exe
- %APPDATA%\InstallDir\Server.exe
- %APPDATA%\Microsoft\Windows\((Mutex)).cfg
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Start Menu\Programs\Startup\mhrhcrji.exe
- %APPDATA%\Microsoft\Windows\((Mutex)).dat
- %APPDATA%\Microsoft\Windows\((Mutex)).cfg
Удаляет следующие файлы:
- %APPDATA%\Microsoft\Windows\((Mutex)).cfg
- %TEMP%\~TM2.tmp
- %TEMP%\~TM1.tmp
Сетевая активность:
Подключается к:
- 'localhost':1093
- 'localhost':1092
- 'localhost':1095
- 'localhost':1094
- 'localhost':1080
- 'localhost':1067
- 'localhost':1066
- 'localhost':1079
- 'localhost':1068
- 'localhost':1097
- 'localhost':1133
- 'localhost':1132
- 'localhost':1135
- 'localhost':1134
- 'localhost':1131
- 'localhost':1099
- 'localhost':1098
- 'localhost':1130
- 'localhost':1127
- 'localhost':1045
- 'localhost':1044
- 'localhost':1047
- 'st###oliks.com':443
- 'localhost':1041
- 'localhost':1038
- 'localhost':1037
- 'localhost':1040
- 'localhost':1039
- '74.##5.232.51':80
- 'localhost':1061
- 'localhost':1059
- 'localhost':1065
- 'localhost':1064
- 'localhost':1058
- 'localhost':81
- 'localhost':1049
- 'localhost':1057
- 'localhost':1055
UDP:
- DNS ASK pr###liks.com
- DNS ASK google.com
- DNS ASK st###oliks.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
