Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ByjJjqlf' = '%TEMP%\byjjjqlf.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RarExsdb' = '<LS_APPDATA>\jwaroevi\rarexsdb.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\jwaroevi\rarexsdb.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\rarexsdb.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '%TEMP%\byjjjqlf.exe'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
- '%TEMP%\byjjjqlf.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\jwaroevi\rarexsdb.exe
- %TEMP%\ifqydaby.exe
- <LS_APPDATA>\lawhwilb.log
- %TEMP%\byjjjqlf.exe
- %ALLUSERSPROFILE%\Application Data\ybfcuwpc.log
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Start Menu\Programs\Startup\rarexsdb.exe
Сетевая активность:
Подключается к:
- 'qa#####urmebijlnd.com':443
- 'en###pax.com':443
- 'bg###orpy.com':443
- 'gw#####secbnejofng.com':443
- 'uu###nsf.com':443
- 'ne###myfjth.com':443
- 'ww####nlhfllneb.com':443
- '91.##7.104.175':443
- '74.##5.232.51':80
- 'jw###tioead.com':443
- 'xq#####tpqbxixjp.com':443
- 'pk#####uudiqrmyyi.com':443
UDP:
- DNS ASK xg####pjxsqknl.com
- DNS ASK qr####bwqxsoh.com
- DNS ASK gw#####secbnejofng.com
- DNS ASK cw###rwkg.com
- DNS ASK pt####pddptyy.com
- DNS ASK ea###jvlfd.com
- DNS ASK ip#####dubxckjmjcuv.com
- DNS ASK wb####jkfkcpn.com
- DNS ASK yy###skalki.com
- DNS ASK uu###nsf.com
- DNS ASK pk#####uudiqrmyyi.com
- DNS ASK xq#####tpqbxixjp.com
- DNS ASK google.com
- DNS ASK ww####nlhfllneb.com
- DNS ASK jw###tioead.com
- DNS ASK qa#####urmebijlnd.com
- DNS ASK ne###myfjth.com
- DNS ASK bg###orpy.com
- DNS ASK en###pax.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
