Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SunJavaUpdateSched19' = '<SYSTEM32>\javaupdater.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe
- <Имя диска съемного носителя>:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\Desktop.ini
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\javaupdater.exe' = '<SYSTEM32>\javaupdater.exe:*:Enabled:Ex...
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- 'C:\rhbbww.exe'
- 'C:\rgswi.exe'
- 'C:\nkvguo.exe'
- 'C:\-1998166001'
- 'C:\abepn.exe'
- 'C:\jqoqtbn.exe'
- 'C:\wlixmmg.exe'
- 'C:\pydpucy.exe'
- '<SYSTEM32>\kb-092.exe'
- 'C:\exhstdb.exe'
- 'C:\tgvs.exe'
- 'C:\rhbbww.exe' (загружен из сети Интернет)
- 'C:\-1998166001' (загружен из сети Интернет)
- 'C:\tgvs.exe' (загружен из сети Интернет)
- 'C:\nkvguo.exe' (загружен из сети Интернет)
- 'C:\exhstdb.exe' (загружен из сети Интернет)
- 'C:\wlixmmg.exe' (загружен из сети Интернет)
- 'C:\pydpucy.exe' (загружен из сети Интернет)
- 'C:\abepn.exe' (загружен из сети Интернет)
- 'C:\jqoqtbn.exe' (загружен из сети Интернет)
- 'C:\rgswi.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c del <SYSTEM32>\kb-092.exe > nul
Завершает или пытается завершить
следующие пользовательские процессы:
- Drweb32w.exe
- Drwebupw.exe
- AVP.EXE
- ekrn.exe
- MCAGENT.EXE
- bdss.exe
- bdagent.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
Изменения в файловой системе:
Создает следующие файлы:
- C:\nkvguo.exe
- C:\abepn.exe
- C:\jqoqtbn.exe
- C:\tgvs.exe
- C:\rhbbww.exe
- C:\-1998166001
- C:\pydpucy.exe
- <SYSTEM32>\kb-092.exe
- <SYSTEM32>\javaupdater.exe
- C:\exhstdb.exe
- C:\rgswi.exe
- C:\wlixmmg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe
- <SYSTEM32>\javaupdater.exe
Удаляет следующие файлы:
- <SYSTEM32>\kb-092.exe
Сетевая активность:
Подключается к:
- 'ma##.#ic.nnov.ru':25
- 'ma##.narod.ru':25
- 'ch#t.ru':25
- 'ma##.chat.ru':25
- 'www.wh###smyip.com':80
- 'ac##rox.com':80
- '94.##0.191.201':25
TCP:
Запросы HTTP GET:
- http://ac##rox.com/djvopcmmj/exuurrs.php?ad########
- http://ac##rox.com/djvopcmmj/zfyczmdak.php?ad########
- http://ac##rox.com/djvopcmmj/djgtguhvvf.php?ad########
- http://ac##rox.com/djvopcmmj/unkxylvvs.php?ad#################################################
- http://ac##rox.com/djvopcmmj/jcmjwxthui.php?ad########
- http://ac##rox.com/djvopcmmj/tifst.php?ad########
- http://ac##rox.com/djvopcmmj/hjgguqee.php?ad########
- http://ac##rox.com/djvopcmmj/atdnabbc.php?ad########
- http://wh###smyip.com/automation/n09230945.asp via www.wh###smyip.com
- http://ac##rox.com/djvopcmmj/dktqrriwfx.php?ad########
- http://ac##rox.com/djvopcmmj/jyfbcc.php?ad########
- http://ac##rox.com/djvopcmmj/lrylmmfcz.php?ad########
UDP:
- DNS ASK ma##.narod.ru
- DNS ASK ma##.#ic.nnov.ru
- DNS ASK ma##.chat.ru
- DNS ASK mx.#ail.ru
- DNS ASK mx.#arod.ru
- DNS ASK mx.##c.nnov.ru
- DNS ASK mx.#hat.ru
- DNS ASK ma#l.ru
- DNS ASK ac##rox.com
- DNS ASK www.wh###smyip.com
- DNS ASK ch#t.ru
- DNS ASK ma##.mail.ru
- DNS ASK na##d.ru
- DNS ASK ui#.nnov.ru
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
