Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'fsclienta' = '<SYSTEM32>\fsclienta.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'fsguard' = '<SYSTEM32>\fsclient\fsguard.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'Wpro' = '<SYSTEM32>\wpro.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'fsclient' = '<SYSTEM32>\fsclient\fsclient.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\fsclient] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\services\authclt] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\services\authclt_guard] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\services\fsclient_guard] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\services\Authcomm] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\services\fluxmgr] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\services\Tcpip] 'start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\fsclient\fsclient.exe'
- '<SYSTEM32>\fsclient\fsguard.exe' fsclient
- '<SYSTEM32>\authclt.exe'
- '<SYSTEM32>\userinfo.exe'
- '%PROGRAM_FILES%\optreg.exe' setvlu 2 SOFTWARE\Microsoft\Windows\CurrentVersion fslv dw 0
- '<SYSTEM32>\kill.exe' authclt.exe
- '<SYSTEM32>\clp.exe'
- '<SYSTEM32>\FsWinVer.exe' OS_BIT_IS_64
- '<SYSTEM32>\kill.exe' fsguard.exe
- '<SYSTEM32>\kill.exe' fsclient.exe
- '<SYSTEM32>\kill.exe' fsclienta.exe
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="fsclient" dir=in program="<SYSTEM32>\fsclient\fsclient.exe" action=allow
- '<SYSTEM32>\conhost.exe' authclt
- '<SYSTEM32>\arp.exe' -d *
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="fsclient" dir=out program="<SYSTEM32>\fsclient\fsclient.exe" action=allow
- '<SYSTEM32>\conhost.exe' OS_VER
- '%WINDIR%\regedit.exe' /s <SYSTEM32>\authcomm.reg
- '<SYSTEM32>\conhost.exe'
- '%WINDIR%\regedit.exe' /s <SYSTEM32>\ntfluxmgr.reg
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\~GLH0023.TMP
- <SYSTEM32>\~GLH0022.TMP
- <SYSTEM32>\fsclient\~GLH0021.TMP
- <SYSTEM32>\~GLH0024.TMP
- <SYSTEM32>\~GLH0027.TMP
- <SYSTEM32>\fsclient\~GLH0026.TMP
- <SYSTEM32>\~GLH0025.TMP
- <DRIVERS>\~GLH001c.TMP
- <SYSTEM32>\~GLH001b.TMP
- <SYSTEM32>\~GLH001a.TMP
- <SYSTEM32>\~GLH001d.TMP
- <DRIVERS>\~GLH0020.TMP
- <SYSTEM32>\~GLH001f.TMP
- <SYSTEM32>\~GLH001e.TMP
- <SYSTEM32>\fsclient\~GLH0028.TMP
- %WINDIR%\authclt.log
- %PROGRAM_FILES%\~GLH002a.TMP
- <SYSTEM32>\fsguard.dll
- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ЦЗДЬНшИ«УГ»§РЕПўµЗјЗ\УГ»§РЕПўµЗјЗ.lnk
- %WINDIR%\userinfo.log
- C:\fsclientinfo.ini
- %TEMP%\fsinstall.log
- %WINDIR%\fsguard.log
- <SYSTEM32>\fsclient\fsguard.dll
- <SYSTEM32>\~GLH0029.TMP
- %WINDIR%\fsclient.log
- %WINDIR%\wpro.log
- <SYSTEM32>\fsclient\fsclient.dll
- <SYSTEM32>\fsclient\fluxmgr.ini
- <SYSTEM32>\~GLH0019.TMP
- %TEMP%\GLIEDEB.tmp
- %WINDIR%\clp.log
- <SYSTEM32>\~GLH0004.TMP
- <SYSTEM32>\~GLH0005.TMP
- <SYSTEM32>\fsclient\~GLH0008.TMP
- <SYSTEM32>\fsclient\~GLH0007.TMP
- <SYSTEM32>\fsclient\~GLH0006.TMP
- %TEMP%\GLGD57A.tmp
- %TEMP%\GLKD069.tmp
- %TEMP%\GLCCFAD.tmp
- %TEMP%\~GLH0000.TMP
- <SYSTEM32>\~GLH0003.TMP
- <SYSTEM32>\~GLH0002.TMP
- <SYSTEM32>\~GLH0001.TMP
- <SYSTEM32>\fsclient\~GLH0009.TMP
- <SYSTEM32>\fsclient\Resource\~GLH0014.TMP
- <SYSTEM32>\fsclient\~GLH0013.TMP
- <SYSTEM32>\fsclient\Resource\~GLH0012.TMP
- <SYSTEM32>\fsclient\Resource\~GLH0015.TMP
- <SYSTEM32>\fsclient\~GLH0018.TMP
- <SYSTEM32>\~GLH0017.TMP
- <SYSTEM32>\~GLH0016.TMP
- <SYSTEM32>\fsclient\~GLH000c.TMP
- <SYSTEM32>\~GLH000b.TMP
- <SYSTEM32>\~GLH000a.TMP
- <SYSTEM32>\fsclient\~GLH000e.TMP
- <SYSTEM32>\fsclient\Resource\~GLH0011.TMP
- <SYSTEM32>\fsclient\~GLH0010.TMP
- <SYSTEM32>\fsclient\~GLH000f.TMP
Удаляет следующие файлы:
- %TEMP%\GLKD069.tmp
- %TEMP%\GLIEDEB.tmp
- %TEMP%\GLCCFAD.tmp
- %TEMP%\GLFD5E8.tmp
- <SYSTEM32>\nethelptools.dll
- %TEMP%\GLGD57A.tmp
- <SYSTEM32>\9xfluxmgr.reg
- <SYSTEM32>\ntfluxmgr.reg
Перемещает следующие файлы:
- <DRIVERS>\~GLH001c.TMP в <DRIVERS>\authcomm.sys
- <SYSTEM32>\~GLH001b.TMP в <SYSTEM32>\authclt.dat
- <SYSTEM32>\~GLH001d.TMP в <SYSTEM32>\authcomm.reg
- <SYSTEM32>\~GLH001f.TMP в <SYSTEM32>\userinfo.dat
- <SYSTEM32>\~GLH001e.TMP в <SYSTEM32>\userinfo.exe
- <SYSTEM32>\~GLH0017.TMP в <SYSTEM32>\wpro.dat
- <SYSTEM32>\~GLH0016.TMP в <SYSTEM32>\wpro.exe
- <SYSTEM32>\fsclient\~GLH0018.TMP в <SYSTEM32>\fsclient\procinfo.dll
- <SYSTEM32>\~GLH001a.TMP в <SYSTEM32>\authclt.exe
- <SYSTEM32>\~GLH0019.TMP в <SYSTEM32>\fsguard.exe
- <DRIVERS>\~GLH0020.TMP в <DRIVERS>\fluxmgr.sys
- <SYSTEM32>\~GLH0027.TMP в <SYSTEM32>\uninst.exe
- <SYSTEM32>\fsclient\~GLH0026.TMP в <SYSTEM32>\fsclient\uninst.exe
- <SYSTEM32>\fsclient\~GLH0028.TMP в <SYSTEM32>\fsclient\uninst.dat
- %PROGRAM_FILES%\~GLH002a.TMP в %PROGRAM_FILES%\optreg.exe
- <SYSTEM32>\~GLH0029.TMP в <SYSTEM32>\uninst.dat
- <SYSTEM32>\~GLH0022.TMP в <SYSTEM32>\AlarmHlp.dll
- <SYSTEM32>\fsclient\~GLH0021.TMP в <SYSTEM32>\fsclient\AlarmHlp.dll
- <SYSTEM32>\~GLH0023.TMP в <SYSTEM32>\nethelptools.dll
- <SYSTEM32>\~GLH0025.TMP в <SYSTEM32>\fsclienta.dat
- <SYSTEM32>\~GLH0024.TMP в <SYSTEM32>\fsclienta.exe
- <SYSTEM32>\fsclient\~GLH0006.TMP в <SYSTEM32>\fsclient\nethelptools.dll
- <SYSTEM32>\~GLH0005.TMP в <SYSTEM32>\kill.exe
- <SYSTEM32>\fsclient\~GLH0007.TMP в <SYSTEM32>\fsclient\fluxmgr.dll
- <SYSTEM32>\fsclient\~GLH0009.TMP в <SYSTEM32>\fsclient\fsclient.dat
- <SYSTEM32>\fsclient\~GLH0008.TMP в <SYSTEM32>\fsclient\fsclient.exe
- <SYSTEM32>\~GLH0001.TMP в <SYSTEM32>\FsWinVer.exe
- %TEMP%\~GLH0000.TMP в %TEMP%\GLFD5E8.tmp
- <SYSTEM32>\~GLH0002.TMP в <SYSTEM32>\nethelptools.dll
- <SYSTEM32>\~GLH0004.TMP в <SYSTEM32>\clp.dll
- <SYSTEM32>\~GLH0003.TMP в <SYSTEM32>\clp.exe
- <SYSTEM32>\~GLH000a.TMP в <SYSTEM32>\9xfluxmgr.reg
- <SYSTEM32>\fsclient\Resource\~GLH0012.TMP в <SYSTEM32>\fsclient\Resource\AlarmHlpen.dll
- <SYSTEM32>\fsclient\Resource\~GLH0011.TMP в <SYSTEM32>\fsclient\Resource\fsclienten.dll
- <SYSTEM32>\fsclient\~GLH0013.TMP в <SYSTEM32>\fsclient\WinVer.exe
- <SYSTEM32>\fsclient\Resource\~GLH0015.TMP в <SYSTEM32>\fsclient\Resource\userinfoen.dll
- <SYSTEM32>\fsclient\Resource\~GLH0014.TMP в <SYSTEM32>\fsclient\Resource\fsclientaen.dll
- <SYSTEM32>\fsclient\~GLH000c.TMP в <SYSTEM32>\fsclient\msvcp60.dll
- <SYSTEM32>\~GLH000b.TMP в <SYSTEM32>\ntfluxmgr.reg
- <SYSTEM32>\fsclient\~GLH000e.TMP в <SYSTEM32>\fsclient\pfw.dll
- <SYSTEM32>\fsclient\~GLH0010.TMP в <SYSTEM32>\fsclient\fsguard.dat
- <SYSTEM32>\fsclient\~GLH000f.TMP в <SYSTEM32>\fsclient\fsguard.exe
Сетевая активность:
Подключается к:
- 'localhost':288
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '????'
- ClassName: 'RegEdit_RegEdit' WindowName: ''
