Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'aeEkEEcE.exe' = '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pUccUkoM.exe' = '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\FkYQcQph] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe'
- '%ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe'
- '%HOMEPATH%\fCkYUMIQ\pUccUkoM.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\hAkwAMMo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\LQooUkUo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\aYcgkkMQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\xgcoUYoU.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' /c "<Текущая директория>\<Имя вируса>"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\QQYwgAMY.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\HmQkwkQI.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\QUkEIoUM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\JgoAYIwA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\qogwgwYg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' /c ""%TEMP%\MUQwYEQQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\YSosUcMg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' /c "<Текущая директория>\<Имя вируса>"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\DgwYswgw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\SkEAMkIA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\SWIcQUwc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\reg.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cscript.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' /c ""%TEMP%\PeQQcYAo.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\QuUwIAAk.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\bMUscMgA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\wuwUsAgg.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\teUMocME.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\yqEQYgoc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\GMAkkMYA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
- '<SYSTEM32>\cscript.exe' %TEMP%\file.vbs
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\fCQYkwcA.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\LOEEEoUM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\xEkEQEQw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ymIYsYko.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\yWkAcUsc.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\dmQEUoEM.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\EeAUwwMQ.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\hykwgAYk.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ECwMAUsE.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\zsoMkAQw.bat" "<Полный путь к вирусу>""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\zcwcogIE.bat" "<Полный путь к вирусу>""
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\reg.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\QUkEIoUM.bat
- %TEMP%\XekQwwYc.bat
- <Текущая директория>\FAcI.exe
- <Текущая директория>\fUcY.ico
- C:\RCX11.tmp
- C:\RCX10.tmp
- %TEMP%\QQYwgAMY.bat
- <Текущая директория>\LEks.exe
- <Текущая директория>\LaUM.ico
- %TEMP%\JgoAYIwA.bat
- %TEMP%\qogwgwYg.bat
- %TEMP%\lkEEwEYU.bat
- <Текущая директория>\Rcsg.ico
- C:\RCX13.tmp
- <Текущая директория>\WWcA.ico
- C:\RCX12.tmp
- %TEMP%\ogkQkwYw.bat
- <Текущая директория>\MkUa.exe
- %TEMP%\PYkAwgwY.bat
- C:\RCXD.tmp
- <Текущая директория>\BYQU.exe
- <Текущая директория>\XoAE.ico
- %TEMP%\QuUwIAAk.bat
- C:\RCXC.tmp
- %TEMP%\pSgQwQcU.bat
- <Текущая директория>\mAQc.exe
- <Текущая директория>\aoQU.ico
- <Текущая директория>\GGYA.ico
- C:\RCXF.tmp
- %TEMP%\dqwcwoQc.bat
- <Текущая директория>\Ecwi.exe
- <Текущая директория>\tAEm.exe
- %TEMP%\nKAIsYEw.bat
- C:\RCXE.tmp
- <Текущая директория>\syIs.ico
- %TEMP%\HmQkwkQI.bat
- %TEMP%\YSosUcMg.bat
- <Текущая директория>\CecY.ico
- C:\RCX18.tmp
- <Текущая директория>\VYMy.exe
- %TEMP%\WUMgkAos.bat
- <Текущая директория>\hwYe.exe
- <Текущая директория>\aqwU.ico
- %TEMP%\PeQQcYAo.bat
- C:\RCX17.tmp
- %TEMP%\jEIMwsYA.bat
- C:\RCX19.tmp
- %TEMP%\DgwYswgw.bat
- %TEMP%\SkEAMkIA.bat
- <Текущая директория>\pkIC.exe
- %TEMP%\MUQwYEQQ.bat
- %TEMP%\gKgoIkks.bat
- <Текущая директория>\AkQg.ico
- %TEMP%\HoQEEkoE.bat
- %TEMP%\hAkwAMMo.bat
- <Текущая директория>\QosY.exe
- %TEMP%\fEwEIMUc.bat
- C:\RCX15.tmp
- <Текущая директория>\lUYk.ico
- C:\RCX14.tmp
- <Текущая директория>\Bcsa.exe
- %TEMP%\IssYkgIw.bat
- %TEMP%\LQooUkUo.bat
- %TEMP%\AAsQUYEk.bat
- %TEMP%\xgcoUYoU.bat
- %TEMP%\jeUcwUYc.bat
- %TEMP%\SWIcQUwc.bat
- C:\RCX16.tmp
- %TEMP%\ioIgskMM.bat
- %TEMP%\aYcgkkMQ.bat
- <Текущая директория>\RkMy.exe
- <Текущая директория>\sCMI.ico
- C:\RCX3.tmp
- <Текущая директория>\oAUi.exe
- %TEMP%\sIQUYkog.bat
- %TEMP%\yqEQYgoc.bat
- <Текущая директория>\VuwQ.ico
- <Текущая директория>\pCAo.ico
- %TEMP%\OmkUAcEE.bat
- C:\RCX2.tmp
- <Текущая директория>\RIcS.exe
- %TEMP%\KWAkQAMo.bat
- %TEMP%\EeAUwwMQ.bat
- <Текущая директория>\SsoK.exe
- <Текущая директория>\KcAY.ico
- %TEMP%\XegoUAoM.bat
- %TEMP%\hykwgAYk.bat
- <Текущая директория>\qiog.ico
- C:\RCX4.tmp
- <Текущая директория>\tgUe.exe
- %TEMP%\file.vbs
- %TEMP%\lEEowkkQ.bat
- %TEMP%\qIEswkcU.bat
- %TEMP%\wuwUsAgg.bat
- %TEMP%\fCQYkwcA.bat
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- <Текущая директория>\<Имя вируса>
- %TEMP%\HSAQwEUY.bat
- %ALLUSERSPROFILE%\casg.txt
- %TEMP%\teUMocME.bat
- %TEMP%\GMAkkMYA.bat
- %TEMP%\kigksgUM.bat
- C:\RCX1.tmp
- <Текущая директория>\oucA.ico
- %TEMP%\bMUscMgA.bat
- %TEMP%\pMEkwcEU.bat
- <Текущая директория>\sUom.exe
- %TEMP%\ZkUIUggc.bat
- %TEMP%\ymIYsYko.bat
- <Текущая директория>\IIIs.ico
- %TEMP%\dmQEUoEM.bat
- C:\RCX9.tmp
- %TEMP%\rAcwkgAo.bat
- %TEMP%\LOEEEoUM.bat
- <Текущая директория>\FkYy.exe
- <Текущая директория>\wsAc.ico
- %TEMP%\yWkAcUsc.bat
- C:\RCXB.tmp
- <Текущая директория>\ksQO.exe
- <Текущая директория>\ZwoA.ico
- <Текущая директория>\icMK.exe
- C:\RCXA.tmp
- <Текущая директория>\NUEM.exe
- <Текущая директория>\gQgg.ico
- %TEMP%\GMEIscgY.bat
- %TEMP%\zcwcogIE.bat
- C:\RCX6.tmp
- %TEMP%\zsoMkAQw.bat
- %TEMP%\cAAksQwQ.bat
- <Текущая директория>\PwEC.exe
- C:\RCX5.tmp
- %TEMP%\ECwMAUsE.bat
- <Текущая директория>\dicc.ico
- %TEMP%\gywIUAso.bat
- <Текущая директория>\OMcS.exe
- <Текущая директория>\WcIM.ico
- C:\RCX8.tmp
- %TEMP%\qWMUUwQs.bat
- %TEMP%\xEkEQEQw.bat
- <Текущая директория>\hkEA.ico
- %TEMP%\laUMUsUc.bat
- C:\RCX7.tmp
- <Текущая директория>\voEC.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\lwQggIEM\nwAEcgMA.exe
- %ALLUSERSPROFILE%\BWogoUMg\aeEkEEcE.exe
- %HOMEPATH%\fCkYUMIQ\pUccUkoM.exe
Удаляет следующие файлы:
- %TEMP%\XekQwwYc.bat
- <Текущая директория>\FAcI.exe
- <Текущая директория>\LaUM.ico
- <Текущая директория>\GGYA.ico
- <Текущая директория>\LEks.exe
- <Текущая директория>\WWcA.ico
- %TEMP%\lkEEwEYU.bat
- <Текущая директория>\MkUa.exe
- <Текущая директория>\fUcY.ico
- %TEMP%\ogkQkwYw.bat
- <Текущая директория>\BYQU.exe
- <Текущая директория>\XoAE.ico
- <Текущая директория>\aoQU.ico
- %TEMP%\PYkAwgwY.bat
- <Текущая директория>\mAQc.exe
- %TEMP%\dqwcwoQc.bat
- <Текущая директория>\Ecwi.exe
- <Текущая директория>\syIs.ico
- %TEMP%\nKAIsYEw.bat
- <Текущая директория>\tAEm.exe
- <Текущая директория>\Bcsa.exe
- %TEMP%\PeQQcYAo.bat
- %TEMP%\gKgoIkks.bat
- <Текущая директория>\aqwU.ico
- %TEMP%\WUMgkAos.bat
- <Текущая директория>\hwYe.exe
- %TEMP%\MUQwYEQQ.bat
- %TEMP%\jEIMwsYA.bat
- %TEMP%\HoQEEkoE.bat
- <Текущая директория>\VYMy.exe
- <Текущая директория>\CecY.ico
- <Текущая директория>\QosY.exe
- <Текущая директория>\lUYk.ico
- %TEMP%\fEwEIMUc.bat
- %TEMP%\IssYkgIw.bat
- <Текущая директория>\Rcsg.ico
- <Текущая директория>\sCMI.ico
- %TEMP%\jeUcwUYc.bat
- <Текущая директория>\RkMy.exe
- %TEMP%\ioIgskMM.bat
- %TEMP%\AAsQUYEk.bat
- %TEMP%\XegoUAoM.bat
- %TEMP%\KWAkQAMo.bat
- <Текущая директория>\VuwQ.ico
- %TEMP%\sIQUYkog.bat
- <Текущая директория>\oAUi.exe
- %TEMP%\gywIUAso.bat
- <Текущая директория>\KcAY.ico
- <Текущая директория>\SsoK.exe
- <Текущая директория>\tgUe.exe
- <Текущая директория>\qiog.ico
- %TEMP%\pMEkwcEU.bat
- <Текущая директория>\sUom.exe
- %TEMP%\qIEswkcU.bat
- %TEMP%\HSAQwEUY.bat
- %TEMP%\lEEowkkQ.bat
- <Текущая директория>\RIcS.exe
- <Текущая директория>\pCAo.ico
- %TEMP%\OmkUAcEE.bat
- <Текущая директория>\oucA.ico
- %TEMP%\kigksgUM.bat
- %TEMP%\cAAksQwQ.bat
- %TEMP%\GMEIscgY.bat
- <Текущая директория>\IIIs.ico
- <Текущая директория>\NUEM.exe
- <Текущая директория>\FkYy.exe
- <Текущая директория>\wsAc.ico
- <Текущая директория>\ksQO.exe
- <Текущая директория>\ZwoA.ico
- %TEMP%\pSgQwQcU.bat
- <Текущая директория>\icMK.exe
- <Текущая директория>\gQgg.ico
- <Текущая директория>\voEC.exe
- <Текущая директория>\hkEA.ico
- %TEMP%\laUMUsUc.bat
- <Текущая директория>\PwEC.exe
- <Текущая директория>\dicc.ico
- %TEMP%\rAcwkgAo.bat
- %TEMP%\ZkUIUggc.bat
- <Текущая директория>\WcIM.ico
- %TEMP%\qWMUUwQs.bat
- <Текущая директория>\OMcS.exe
Перемещает следующие файлы:
- C:\RCX10.tmp в <Текущая директория>\Ecwi.exe
- C:\RCX11.tmp в <Текущая директория>\LEks.exe
- C:\RCX12.tmp в <Текущая директория>\FAcI.exe
- C:\RCXD.tmp в <Текущая директория>\mAQc.exe
- C:\RCXE.tmp в <Текущая директория>\BYQU.exe
- C:\RCXF.tmp в <Текущая директория>\tAEm.exe
- C:\RCX16.tmp в <Текущая директория>\RkMy.exe
- C:\RCX17.tmp в <Текущая директория>\hwYe.exe
- C:\RCX18.tmp в <Текущая директория>\VYMy.exe
- C:\RCX13.tmp в <Текущая директория>\MkUa.exe
- C:\RCX14.tmp в <Текущая директория>\Bcsa.exe
- C:\RCX15.tmp в <Текущая директория>\QosY.exe
- C:\RCX4.tmp в <Текущая директория>\tgUe.exe
- C:\RCX5.tmp в <Текущая директория>\SsoK.exe
- C:\RCX6.tmp в <Текущая директория>\PwEC.exe
- C:\RCX1.tmp в <Текущая директория>\sUom.exe
- C:\RCX2.tmp в <Текущая директория>\RIcS.exe
- C:\RCX3.tmp в <Текущая директория>\oAUi.exe
- C:\RCXA.tmp в <Текущая директория>\NUEM.exe
- C:\RCXB.tmp в <Текущая директория>\icMK.exe
- C:\RCXC.tmp в <Текущая директория>\ksQO.exe
- C:\RCX7.tmp в <Текущая директория>\voEC.exe
- C:\RCX8.tmp в <Текущая директория>\OMcS.exe
- C:\RCX9.tmp в <Текущая директория>\FkYy.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '19#.#86.45.170':9999
- '74.##5.232.51':80
- '20#.#7.164.69':9999
- '20#.#19.204.12':9999
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
UDP:
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'pUccUkoM.exe'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: 'aeEkEEcE.exe'
