Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '*WindowsMngr' = '"%ALLUSERSPROFILE%\WindowsMngr\svchost.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Firewall.cpl] 'Debugger' = 'wuauc'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mmc.exe.0057w
- <SYSTEM32>\Firewall.cpl.Is20qjfo
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\firewall.cpl:Zone.Identifier
- %ALLUSERSPROFILE%\WindowsMngr\procmon.exe
- %TEMP%\nsv3.tmp\slur.dll
- %TEMP%\nsn2.tmp
- %TEMP%\nepit\slur.cu
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\WindowsMngr\procmon.exe
Удаляет следующие файлы:
- <SYSTEM32>\talEQnQdGbgovscOo
- <SYSTEM32>\woQRlAFEpGZhnhxkiAuFSIzPe
- %TEMP%\nsv3.tmp\slur.dll
Перемещает следующие системные файлы:
- <SYSTEM32>\lDQHUbHjwRVWeh в <SYSTEM32>\PQfqriOHYcZXCr
- <SYSTEM32>\PQfqriOHYcZXCr в <SYSTEM32>\xmxNOBUrTbCGHfMm
- <SYSTEM32>\xmxNOBUrTbCGHfMm в <SYSTEM32>\yzslNDnAJIYetXvNo
- <SYSTEM32>\UlplzPQOAEBMvirZeyVCbWa в <SYSTEM32>\woQRlAFEpGZhnhxkiAuFSIzPe
- <SYSTEM32>\mmc.exe в <SYSTEM32>\mmc.exe.0057w
- <SYSTEM32>\mmc.exe.0057w в <SYSTEM32>\lDQHUbHjwRVWeh
- <SYSTEM32>\gASxzgEiatmCeKaHY в <SYSTEM32>\FiqXSdexaoJFm
- <SYSTEM32>\FiqXSdexaoJFm в <SYSTEM32>\eApDgufslqaWg
- <SYSTEM32>\eApDgufslqaWg в <SYSTEM32>\talEQnQdGbgovscOo
- <SYSTEM32>\yzslNDnAJIYetXvNo в <SYSTEM32>\oADbcihuOOIDYrLF
- <SYSTEM32>\oADbcihuOOIDYrLF в <SYSTEM32>\KsScuWoKWyHna
- <SYSTEM32>\KsScuWoKWyHna в <SYSTEM32>\gASxzgEiatmCeKaHY
- <SYSTEM32>\WtEhoSDFmwyXAwCxPLhZgYm в <SYSTEM32>\TFAaaUHPMqomCKQEzAjemZirW
- <SYSTEM32>\TFAaaUHPMqomCKQEzAjemZirW в <SYSTEM32>\xtwlsEuPmVrSEQoqdTZOxTkGO
- <SYSTEM32>\xtwlsEuPmVrSEQoqdTZOxTkGO в <SYSTEM32>\WRkruHAsAMRXNxONABkPadaMo
- <SYSTEM32>\firewall.cpl в <SYSTEM32>\Firewall.cpl.Is20qjfo
- <SYSTEM32>\Firewall.cpl.Is20qjfo в <SYSTEM32>\hOIOnisZoKUzhIoxxRrAKdSsL
- <SYSTEM32>\hOIOnisZoKUzhIoxxRrAKdSsL в <SYSTEM32>\WtEhoSDFmwyXAwCxPLhZgYm
- <SYSTEM32>\bQeOHgDDNXXXkymNzzKEyA в <SYSTEM32>\QyEVRRVTvLtlWkwQZtibB
- <SYSTEM32>\QyEVRRVTvLtlWkwQZtibB в <SYSTEM32>\LEeKWnOPnrptKgKFLlsMB
- <SYSTEM32>\LEeKWnOPnrptKgKFLlsMB в <SYSTEM32>\UlplzPQOAEBMvirZeyVCbWa
- <SYSTEM32>\WRkruHAsAMRXNxONABkPadaMo в <SYSTEM32>\NuOgKBoNbPWafLTAnTZNdhZ
- <SYSTEM32>\NuOgKBoNbPWafLTAnTZNdhZ в <SYSTEM32>\jenrWYRLirMMendqKjEKXq
- <SYSTEM32>\jenrWYRLirMMendqKjEKXq в <SYSTEM32>\bQeOHgDDNXXXkymNzzKEyA
Самоперемещается:
- из <Полный путь к вирусу> в %ALLUSERSPROFILE%\WindowsMngr\svchost.exe
Сетевая активность:
Подключается к:
- 'www.al###meagaaa.ws':80
TCP:
Запросы HTTP POST:
- www.al###meagaaa.ws/l/page.php
UDP:
- DNS ASK www.al###meagaaa.ws
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
