Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"c:\winnt\system32\tskdbg.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'tskdbg' = 'c:\winnt\system32\tskdbg.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'windows update' = 'c:\winnt\web\printers\images\explorer.exe'
- [<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"c:\winnt\system32\tskdbg.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\winnt\system32\scon.exe' /n /fh /r "nwbat.bat"
- 'C:\winnt\system32\scon.exe' /n /fh UPDATE
- 'C:\winnt\system32\tskdbg.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' share f$ /delete /y
- '<SYSTEM32>\net1.exe' share s$ /delete /y
- '<SYSTEM32>\net1.exe' share t$ /delete /y
- '<SYSTEM32>\net1.exe' share e$ /delete /y
- '<SYSTEM32>\net1.exe' share admin$ /delete /y
- '<SYSTEM32>\net1.exe' share print$ /delete /y
- '<SYSTEM32>\net1.exe' share d$ /delete /y
- '<SYSTEM32>\net1.exe' share u$ /delete /y
- '<SYSTEM32>\net1.exe' share y$ /delete /y
- '<SYSTEM32>\net1.exe' share My Documents /delete /y
- '<SYSTEM32>\net1.exe' share Shared Docs /delete /y
- '<SYSTEM32>\net1.exe' share x$ /delete /y
- '<SYSTEM32>\net1.exe' share z$ /delete /y
- '<SYSTEM32>\net1.exe' share v$ /delete /y
- '<SYSTEM32>\net1.exe' share w$ /delete /y
- '<SYSTEM32>\net1.exe' share j$ /delete /y
- '<SYSTEM32>\net1.exe' share k$ /delete /y
- '<SYSTEM32>\net1.exe' share l$ /delete /y
- '<SYSTEM32>\net1.exe' share i$ /delete /y
- '<SYSTEM32>\cmd.exe' /c nwbat.bat
- '<SYSTEM32>\net1.exe' share h$ /delete /y
- '%WINDIR%\msagent\agentsvr.exe' -Embedding
- '<SYSTEM32>\net1.exe' share g$ /delete /y
- '<SYSTEM32>\net1.exe' share p$ /delete /y
- '<SYSTEM32>\net1.exe' share r$ /delete /y
- '<SYSTEM32>\net1.exe' share ipc$ /delete /y
- '<SYSTEM32>\net1.exe' share o$ /delete /y
- '<SYSTEM32>\net1.exe' share c$ /delete /y
- '<SYSTEM32>\net1.exe' share m$ /delete /y
- '<SYSTEM32>\net1.exe' share n$ /delete /y
Изменения в файловой системе:
Создает следующие файлы:
- C:\winnt\system32\nwbat.BAT
- C:\winnt\system32\pxc32.exe
- C:\winnt\system32\nvdrv.ocx
- C:\winnt\system32\ntweb.dll
- C:\winnt\system32\ntzp32.dll
- C:\winnt\system32\tskdbg.exe
- C:\winnt\system32\zplgc32.dll
- C:\winnt\system32\ss.exe
- C:\winnt\system32\rtx.vxd
- C:\winnt\system32\scon.exe
- C:\winnt\system32\ntscript.bat
- C:\winnt\system32\msbt.bat
- C:\winnt\system32\ntbar32.dll
- C:\winnt\system32\mcop.dll
- C:\winnt\system32\rtos.exe
- C:\winnt\system32\lock.mrc
- C:\winnt\system32\ntm32.dll
- C:\winnt\system32\ntnwsys.ocx
- C:\winnt\system32\ntlib.exe
- C:\winnt\system32\ntboot.dll
- C:\winnt\system32\ntdc32.dll
Сетевая активность:
Подключается к:
- 'mu####.us-the-bomb.org':6667
UDP:
- DNS ASK mu####.us-the-bomb.org
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'UPDATE'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
