Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpZ' = '"%TEMP%\mdm.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MKerb' = '%WINDIR%\taskmgr.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpZ' = '"%TEMP%\mdm.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpuc' = '"%TEMP%\lsass.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpuc' = '"%TEMP%\lsass.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MKerb' = '%WINDIR%\taskmgr.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpw+' = '"%TEMP%\nvsvc32.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{D2A123C3-A500-90BD-A820-04B53A2C8952}' = 'u3f5yhfghd5seuyhfj3jrih'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRpw+' = '"%TEMP%\nvsvc32.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrtc' = '"%TEMP%\sysedit.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HNUGROXRrtc' = '"%TEMP%\sysedit.exe"'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- %WINDIR%\win16.exe
- %WINDIR%\taskmgr.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c ""<Текущая директория>\p2hhr.bat" "<Полный путь к вирусу>""
- <SYSTEM32>\regsvr32.exe /s <SYSTEM32>\xt7pn5.dll
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = ''
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\dm[1].php
- <Текущая директория>\p2hhr.bat
- %TEMP%\cmd.exe
- %WINDIR%\win16.exe
- %TEMP%\lsass.exe
- %TEMP%\user.exe
- %TEMP%\winamp.exe
- %TEMP%\taskmgr.exe
- %TEMP%\hexdump.exe
- %TEMP%\sysmgm.exe
- %TEMP%\hs1p7ior5arls7mk.exe
- %TEMP%\nvsvc32.exe
- <SYSTEM32>\xt7pn5.dll
- %TEMP%\ynupba.exe
- %TEMP%\sysedit.exe
- %TEMP%\install.exe
- %TEMP%\wininst.exe
- %WINDIR%\taskmgr.exe
- %TEMP%\mdm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\lsass.exe
- %WINDIR%\win16.exe
- %TEMP%\cmd.exe
- %TEMP%\taskmgr.exe
- %TEMP%\winamp.exe
- %TEMP%\user.exe
- %TEMP%\hexdump.exe
- %WINDIR%\taskmgr.exe
- %TEMP%\sysedit.exe
- %TEMP%\nvsvc32.exe
- %TEMP%\mdm.exe
- %TEMP%\sysmgm.exe
- %TEMP%\wininst.exe
- %TEMP%\install.exe
Удаляет следующие файлы:
- %TEMP%\sysedit.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'co###drun.com':80
TCP:
Запросы HTTP GET:
- co###drun.com/dw/dm.php?id############################################################
UDP:
- DNS ASK co###drun.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
