Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{8C7461EF-2B13-11d2-BE35-3078302C2030}' = 'Component Categories cache daemon'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'loadfixed.exe' = '<SYSTEM32>\loadfixed.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Win update' = '%WINDIR%\Wupdate.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] '{438755C2-A8BA-11D1-B96B-00A0C90312E1}' = 'Browseui preloader'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\loadfixed.exe'
- '%WINDIR%\Wupdate.exe'
- '<SYSTEM32>\loadfixed.exe' (загружен из сети Интернет)
- '%WINDIR%\Wupdate.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s /i browseui.dll
- '<SYSTEM32>\regsvr32.exe' /s winsub.dll
- '<SYSTEM32>\regsvr32.exe' /s winhelper.dll
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\whUninstall.exe
- %TEMP%\RGI1.tmp
- %WINDIR%\Wupdate.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\whUninstall[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\Helper[1].exe
- <SYSTEM32>\loadfixed.exe
- %TEMP%\RGI2.tmp
- %TEMP%\RGI3.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\winsub[1].dll
- %PROGRAM_FILES%\WinHelper\winsub.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\version[1].txt
- %WINDIR%\version.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iexplore.exe[1].manifest
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\Wupdate[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winhelper[1].dll
- %PROGRAM_FILES%\WinHelper\winhelper.dll
Удаляет следующие файлы:
- %TEMP%\RGI3.tmp
- %TEMP%\RGI2.tmp
- %TEMP%\RGI1.tmp
Сетевая активность:
Подключается к:
- 'up#####.windowshelper.co.kr':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- up#####.windowshelper.co.kr/Wupdate.exe
- up#####.windowshelper.co.kr/whUninstall.exe
- up#####.windowshelper.co.kr/Helper.exe
- up#####.windowshelper.co.kr/iexplore.exe.manifest
- up#####.windowshelper.co.kr/version.txt
- up#####.windowshelper.co.kr/winsub.dll
- up#####.windowshelper.co.kr/winhelper.dll
UDP:
- DNS ASK pr#.###dowshelper.co.kr
- DNS ASK up#####.windowshelper.co.kr
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
