Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Defender Extension' = '"%APPDATA%\Microsoft\Repairs\WindowsRepair.exe"'
Создает или изменяет следующие файлы:
- %TEMP%\tttttt.ttt
- %TEMP%\uuuuuu.uuu
- %TEMP%\vvvvvv.vvv
- %TEMP%\ssssss.sss
- %TEMP%\pppppp.ppp
- %TEMP%\qqqqqq.qqq
- %TEMP%\rrrrrr.rrr
- %TEMP%\aaaaaa.aaa
- %HOMEPATH%\Startup\ctfmon.exe
- %APPDATA%\%USERNAME%\update.bat
- %TEMP%\zzzzzz.zzz
- %TEMP%\wwwwww.www
- %TEMP%\xxxxxx.xxx
- %TEMP%\yyyyyy.yyy
- %TEMP%\oooooo.ooo
- %TEMP%\eeeeee.eee
- %TEMP%\ffffff.fff
- %TEMP%\gggggg.ggg
- %TEMP%\dddddd.ddd
- %TEMP%\bbbbbb.bbb
- %TEMP%\cccccc.ccc
- %TEMP%\llllll.lll
- %TEMP%\mmmmmm.mmm
- %TEMP%\nnnnnn.nnn
- %TEMP%\kkkkkk.kkk
- %TEMP%\hhhhhh.hhh
- %TEMP%\iiiiii.iii
- %TEMP%\jjjjjj.jjj
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\%USERNAME%\winime.exe'
- '%APPDATA%\%USERNAME%\chkdsk.exe'
- '%APPDATA%\Macromedia\FlashCheck.exe'
- '%APPDATA%\Microsoft\Repairs\WindowsRepair.exe' /i 2936
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Temp\%USERNAME%2.bat" "
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Temp\%USERNAME%0.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Temp\%USERNAME%1.bat" "
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp7.tmp
- %APPDATA%\Microsoft\Repairs\WindowsRepair.exe
- %TEMP%\tmp8.tmp
- %APPDATA%\Microsoft\Common\udsk.nls
- %TEMP%\tmp6.tmp
- %APPDATA%\Microsoft\Common\attrib.nls
- %TEMP%\tmpA.tmp
- %APPDATA%\Temp\%USERNAME%2.bat
- %TEMP%\B.tmp
- %APPDATA%\%USERNAME%\winime.exe
- %TEMP%\tmp9.tmp
- %APPDATA%\%USERNAME%\chkdsk.exe
- %TEMP%\tmp5.tmp
- %APPDATA%\Temp\%USERNAME%0.bat
- %APPDATA%\Temp\%USERNAME%1.bat
- %APPDATA%\Microsoft\Common\filemgmt.nls
- %APPDATA%\Temp\mydll.dll
- %APPDATA%\Macromedia\FlashCheck.exe
- %TEMP%\tmp1.tmp
- %APPDATA%\Microsoft\Common\diskmgmt.nls
- %TEMP%\tmp4.tmp
- %APPDATA%\Microsoft\Common\netman.nls
- %TEMP%\tmp2.tmp
- %APPDATA%\Microsoft\Common\zipfldr.nls
- %TEMP%\tmp3.tmp
Удаляет следующие файлы:
- %TEMP%\tmp8.tmp
- %TEMP%\tmp7.tmp
- %TEMP%\tmp6.tmp
- %TEMP%\zzzzzz.zzz
- %TEMP%\tmpA.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\tmp2.tmp
- %APPDATA%\Temp\mydll.dll
- %TEMP%\tmp1.tmp
- %TEMP%\tmp5.tmp
- %TEMP%\tmp4.tmp
- %TEMP%\tmp3.tmp
Перемещает следующие файлы:
- %TEMP%\qqqqqq.qqq в %TEMP%\rrrrrr.rrr
- %TEMP%\rrrrrr.rrr в %TEMP%\ssssss.sss
- %TEMP%\ssssss.sss в %TEMP%\tttttt.ttt
- %TEMP%\nnnnnn.nnn в %TEMP%\oooooo.ooo
- %TEMP%\oooooo.ooo в %TEMP%\pppppp.ppp
- %TEMP%\pppppp.ppp в %TEMP%\qqqqqq.qqq
- %TEMP%\tttttt.ttt в %TEMP%\uuuuuu.uuu
- %TEMP%\xxxxxx.xxx в %TEMP%\yyyyyy.yyy
- %TEMP%\yyyyyy.yyy в %TEMP%\zzzzzz.zzz
- %TEMP%\zzzzzz.zzz в %TEMP%\aaaaaa.aaa
- %TEMP%\uuuuuu.uuu в %TEMP%\vvvvvv.vvv
- %TEMP%\vvvvvv.vvv в %TEMP%\wwwwww.www
- %TEMP%\wwwwww.www в %TEMP%\xxxxxx.xxx
- %TEMP%\mmmmmm.mmm в %TEMP%\nnnnnn.nnn
- %TEMP%\cccccc.ccc в %TEMP%\dddddd.ddd
- %TEMP%\dddddd.ddd в %TEMP%\eeeeee.eee
- %TEMP%\eeeeee.eee в %TEMP%\ffffff.fff
- %TEMP%\B.tmp в %TEMP%\aaaaaa.aaa
- %TEMP%\aaaaaa.aaa в %TEMP%\bbbbbb.bbb
- %TEMP%\bbbbbb.bbb в %TEMP%\cccccc.ccc
- %TEMP%\ffffff.fff в %TEMP%\gggggg.ggg
- %TEMP%\jjjjjj.jjj в %TEMP%\kkkkkk.kkk
- %TEMP%\kkkkkk.kkk в %TEMP%\llllll.lll
- %TEMP%\llllll.lll в %TEMP%\mmmmmm.mmm
- %TEMP%\gggggg.ggg в %TEMP%\hhhhhh.hhh
- %TEMP%\hhhhhh.hhh в %TEMP%\iiiiii.iii
- %TEMP%\iiiiii.iii в %TEMP%\jjjjjj.jjj
Самоудаляется.
Сетевая активность:
Подключается к:
- 'my####.strangled.net':80
UDP:
- DNS ASK my####.strangled.net
- DNS ASK windowsupdate.microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
