Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '*ManagrMediaMicro' = '"%ALLUSERSPROFILE%\ManagrMediaMicro\conhost.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'Debugger' = 'wuauclt.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Firewall.cpl] 'Debugger' = 'wuauclt.exe'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\mmc.exe.b3FwmE
- <SYSTEM32>\Firewall.cpl.37rB3
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable profile=all
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\firewall.cpl:Zone.Identifier
- <SYSTEM32>\mmc.exe:Zone.Identifier
- %ALLUSERSPROFILE%\ManagrMediaMicro\vmwareuser.exe
- %APPDATA%\Uninstall.exe
- %APPDATA%\build.exe
- %APPDATA%\~uTorrentPartFile_7BFD3A9ED.dat
- %TEMP%\nsz2.tmp\potholes.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\ManagrMediaMicro\vmwareuser.exe
Удаляет следующие файлы:
- <SYSTEM32>\ukgCmKlgYoSxQs
- <SYSTEM32>\nSxCTqcJsIHqsvZpvnmcOE
- %TEMP%\nsz2.tmp\potholes.dll
Перемещает следующие системные файлы:
- <SYSTEM32>\EdAcHEBcgYAcxcfnif в <SYSTEM32>\ZiqLWeqIBVjZZHHOtY
- <SYSTEM32>\mmc.exe.b3FwmE в <SYSTEM32>\EdAcHEBcgYAcxcfnif
- <SYSTEM32>\YJpiozPLtqhoibUnu в <SYSTEM32>\XxHhJgNXOciATswY
- <SYSTEM32>\ZiqLWeqIBVjZZHHOtY в <SYSTEM32>\YJpiozPLtqhoibUnu
- <SYSTEM32>\SIoPhNChsjrnhlVrzanJ в <SYSTEM32>\VZCrMHbNaCDpzgSluPBsm
- <SYSTEM32>\EqqXmkPwtVLdZlQJrGh в <SYSTEM32>\SIoPhNChsjrnhlVrzanJ
- <SYSTEM32>\mmc.exe в <SYSTEM32>\mmc.exe.b3FwmE
- <SYSTEM32>\VZCrMHbNaCDpzgSluPBsm в <SYSTEM32>\nSxCTqcJsIHqsvZpvnmcOE
- <SYSTEM32>\XxHhJgNXOciATswY в <SYSTEM32>\eKHClRHaaEWxpR
- <SYSTEM32>\AGcGacCRoMFxJkmWX в <SYSTEM32>\IhYYoegpKHEhXr
- <SYSTEM32>\KnAPREzQuHtxqwrH в <SYSTEM32>\AGcGacCRoMFxJkmWX
- <SYSTEM32>\GjcgVLmHxDyeVm в <SYSTEM32>\ukgCmKlgYoSxQs
- <SYSTEM32>\IhYYoegpKHEhXr в <SYSTEM32>\GjcgVLmHxDyeVm
- <SYSTEM32>\evLKdvSOAKpJgcnkW в <SYSTEM32>\izzFpMyFRUEYJbb{n
- <SYSTEM32>\eKHClRHaaEWxpR в <SYSTEM32>\evLKdvSOAKpJgcnkW
- <SYSTEM32>\rRkVUCswQMDjDuLh в <SYSTEM32>\KnAPREzQuHtxqwrH
- <SYSTEM32>\izzFpMyFRUEYJbb{n в <SYSTEM32>\rRkVUCswQMDjDuLh
- <SYSTEM32>\SSGEZWNiqFKGnkLINOcFH в <SYSTEM32>\BaXNAFeJOOuNfdkkasjT
- <SYSTEM32>\NpRYIRmrCjOcOPNMct в <SYSTEM32>\SSGEZWNiqFKGnkLINOcFH
- <SYSTEM32>\lpQzxcdhqLftwaPtOOCbe в <SYSTEM32>\AfYMxscz[pZTQDsdKUA
- <SYSTEM32>\BaXNAFeJOOuNfdkkasjT в <SYSTEM32>\lpQzxcdhqLftwaPtOOCbe
- <SYSTEM32>\Firewall.cpl.37rB3 в <SYSTEM32>\IyVnaXhTaLEenJTKYOG
- <SYSTEM32>\firewall.cpl в <SYSTEM32>\Firewall.cpl.37rB3
- <SYSTEM32>\iifuGjJveETCjqnGlzSIBQ в <SYSTEM32>\NpRYIRmrCjOcOPNMct
- <SYSTEM32>\IyVnaXhTaLEenJTKYOG в <SYSTEM32>\iifuGjJveETCjqnGlzSIBQ
- <SYSTEM32>\AfYMxscz[pZTQDsdKUA в <SYSTEM32>\SaXGNGIgjQvgjjRCZsa
- <SYSTEM32>\MCEblejITkoGAIMLeVuW в <SYSTEM32>\zzxLPOfcCsoyJpyJum
- <SYSTEM32>\ynkOwVjRBTMMxwEtzGXTe в <SYSTEM32>\MCEblejITkoGAIMLeVuW
- <SYSTEM32>\cMHSAoCJzTiEorzDxmWC в <SYSTEM32>\EqqXmkPwtVLdZlQJrGh
- <SYSTEM32>\zzxLPOfcCsoyJpyJum в <SYSTEM32>\cMHSAoCJzTiEorzDxmWC
- <SYSTEM32>\eXRAYDrfdqrYvwDLPKZQXM в <SYSTEM32>\jNvivxmZVtZyyRHrzgA
- <SYSTEM32>\SaXGNGIgjQvgjjRCZsa в <SYSTEM32>\eXRAYDrfdqrYvwDLPKZQXM
- <SYSTEM32>\NVJAcGqXlYUeBKTwhzKMyW в <SYSTEM32>\ynkOwVjRBTMMxwEtzGXTe
- <SYSTEM32>\jNvivxmZVtZyyRHrzgA в <SYSTEM32>\NVJAcGqXlYUeBKTwhzKMyW
Самоперемещается:
- из <Полный путь к вирусу> в %ALLUSERSPROFILE%\ManagrMediaMicro\conhost.exe
Сетевая активность:
Подключается к:
- 'si###odkeys.pw':80
TCP:
Запросы HTTP POST:
- si###odkeys.pw/keys/page.php
UDP:
- DNS ASK si###odkeys.pw
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
