Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '*ApxSvrs0' = '"%ALLUSERSPROFILE%\ApxSvrs0\svchost.exe"'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mmc.exe.zUS9iuM
- <SYSTEM32>\Firewall.cpl.x46A
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\ApxSvrs0\procmon.exe
- %TEMP%\nsm2.tmp\gombeen-man.dll
- %APPDATA%\mire.pk
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\ApxSvrs0\procmon.exe
Удаляет следующие файлы:
- <SYSTEM32>\LjBvRSFrkRAxgWd
- <SYSTEM32>\xijgNfLFkfUHrfCgnPlEx
- %TEMP%\nsm2.tmp\gombeen-man.dll
Перемещает следующие системные файлы:
- <SYSTEM32>\kPkLcaufkrSbevj в <SYSTEM32>\PFSHlUljRUnpTxOOKzJ
- <SYSTEM32>\eUIiYhHdrRfgzGamNn в <SYSTEM32>\kPkLcaufkrSbevj
- <SYSTEM32>\XTGdfvTgwrOfFMP в <SYSTEM32>\tkhDDAKWiaLWLFsb
- <SYSTEM32>\PFSHlUljRUnpTxOOKzJ в <SYSTEM32>\XTGdfvTgwrOfFMP
- <SYSTEM32>\TPGxdEKMEzgXnvM в <SYSTEM32>\QydxzGxocYNOYmy
- <SYSTEM32>\hjqbvgQYqwbhTkS в <SYSTEM32>\TPGxdEKMEzgXnvM
- <SYSTEM32>\ZNvIaRskemFeYrYL в <SYSTEM32>\eUIiYhHdrRfgzGamNn
- <SYSTEM32>\QydxzGxocYNOYmy в <SYSTEM32>\ZNvIaRskemFeYrYL
- <SYSTEM32>\tkhDDAKWiaLWLFsb в <SYSTEM32>\xiwuXvADQPPMivjp
- <SYSTEM32>\ezEbjEJOIdhPDOxoP в <SYSTEM32>\ewcwdaKKrIRMWZlJyMD
- <SYSTEM32>\LczwOLfbtkFNMxTzo в <SYSTEM32>\ezEbjEJOIdhPDOxoP
- <SYSTEM32>\oOCcHVyfrROQmxF в <SYSTEM32>\LjBvRSFrkRAxgWd
- <SYSTEM32>\ewcwdaKKrIRMWZlJyMD в <SYSTEM32>\oOCcHVyfrROQmxF
- <SYSTEM32>\nyoBlGyjKsWUZbiIFj в <SYSTEM32>\LcVnIiaYgfkJnHNY
- <SYSTEM32>\xiwuXvADQPPMivjp в <SYSTEM32>\nyoBlGyjKsWUZbiIFj
- <SYSTEM32>\DXIkKfjmeACpfhI в <SYSTEM32>\LczwOLfbtkFNMxTzo
- <SYSTEM32>\LcVnIiaYgfkJnHNY в <SYSTEM32>\DXIkKfjmeACpfhI
- <SYSTEM32>\KNUTDKJAgHEWclmYVI в <SYSTEM32>\hjqbvgQYqwbhTkS
- <SYSTEM32>\pgKkXEYvAhdpercOnYBBP в <SYSTEM32>\eIUFKnJZJUBnMwPwNFrVq
- <SYSTEM32>\zGqvmJLLyIycVSzjjCMr в <SYSTEM32>\pgKkXEYvAhdpercOnYBBP
- <SYSTEM32>\ZMjvEzauvhmVgoyLmdtap в <SYSTEM32>\SdDccFQIzDNykoJEj
- <SYSTEM32>\eIUFKnJZJUBnMwPwNFrVq в <SYSTEM32>\ZMjvEzauvhmVgoyLmdtap
- <SYSTEM32>\Firewall.cpl.x46A в <SYSTEM32>\IhEjcJYEqbCYsCtjcJoo
- <SYSTEM32>\firewall.cpl в <SYSTEM32>\Firewall.cpl.x46A
- <SYSTEM32>\yEUTUMzZpviSRkdvl[ в <SYSTEM32>\zGqvmJLLyIycVSzjjCMr
- <SYSTEM32>\IhEjcJYEqbCYsCtjcJoo в <SYSTEM32>\yEUTUMzZpviSRkdvl[
- <SYSTEM32>\SdDccFQIzDNykoJEj в <SYSTEM32>\NaIIWhNpjVoYnrwstfn
- <SYSTEM32>\mmc.exe в <SYSTEM32>\mmc.exe.zUS9iuM
- <SYSTEM32>\xDjdSiraUqoGbqfysXd в <SYSTEM32>\xijgNfLFkfUHrfCgnPlEx
- <SYSTEM32>\GRHCwsMRgFPAiQPVh в <SYSTEM32>\KNUTDKJAgHEWclmYVI
- <SYSTEM32>\mmc.exe.zUS9iuM в <SYSTEM32>\GRHCwsMRgFPAiQPVh
- <SYSTEM32>\ERwonkAnbbsasMaVBth в <SYSTEM32>\QdrkfMrgfuhnKMShBeC
- <SYSTEM32>\NaIIWhNpjVoYnrwstfn в <SYSTEM32>\ERwonkAnbbsasMaVBth
- <SYSTEM32>\FEMnFqnSBtkjJtxvgdRKh в <SYSTEM32>\xDjdSiraUqoGbqfysXd
- <SYSTEM32>\QdrkfMrgfuhnKMShBeC в <SYSTEM32>\FEMnFqnSBtkjJtxvgdRKh
Самоперемещается:
- из <Полный путь к вирусу> в %ALLUSERSPROFILE%\ApxSvrs0\svchost.exe
Сетевая активность:
Подключается к:
- 'as####sasl.ninja':80
TCP:
Запросы HTTP POST:
- as####sasl.ninja/sh/page.php
UDP:
- DNS ASK as####sasl.ninja
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
