Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\VVYbfgjl] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\02.exe'
- '%TEMP%\03.exe'
- '%CommonProgramFiles%\Microsoft Shared\MSInfo\NRVZfgko.exe'
- '%TEMP%\1.exe'
- '%TEMP%\2.exe'
- '%TEMP%\01.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\hfblddel.bat" "
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Temporary Internet Files\Content.IE5\QEV5NSBF\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\MT6BOTYF\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\2L4D2DQ5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\MT6BOTYF\baidu[1]
- %TEMP%\History\History.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\44MOQMRF\desktop.ini
- %TEMP%\01.exe
- %TEMP%\2.exe
- %TEMP%\1.exe
- %TEMP%\02.exe
- <SYSTEM32>\hfblddel.bat
- %CommonProgramFiles%\Microsoft Shared\MSInfo\NRVZfgko.exe
- %TEMP%\03.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\Temporary Internet Files\Content.IE5\2L4D2DQ5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\44MOQMRF\desktop.ini
- %TEMP%\History\History.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\QEV5NSBF\desktop.ini
- %CommonProgramFiles%\Microsoft Shared\MSInfo\NRVZfgko.exe
- %TEMP%\Temporary Internet Files\Content.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\MT6BOTYF\desktop.ini
Самоудаляется.
Сетевая активность:
Подключается к:
- 'do###5.3322.org':12000
- '12#.#25.114.144':80
- 'localhost':7246
- 'yx###.3322.org':12000
- 'hk####.no-ip.biz':7246
- '12#.#2.170.42':1063
- '61.##1.188.40':8081
- 'localhost':1051
- '98.##6.90.226':443
TCP:
Запросы HTTP GET:
- 12#.#25.114.144/
UDP:
- DNS ASK do###5.3322.org
- DNS ASK yx###.3322.org
- DNS ASK www.ba##u.com
- DNS ASK .#.
- DNS ASK hk####.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: '??????????????'
- ClassName: '#32770' WindowName: 'Microsoft Internet Explorer'
- ClassName: '#32770' WindowName: 'Windows Internet Explorer'
- ClassName: '(null)' WindowName: '(????????????) - ????????'
- ClassName: '(null)' WindowName: '????????'
- ClassName: '(null)' WindowName: '??????????????'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'STATIC' WindowName: '00000B4C_PID_FastMM_BE'
- ClassName: 'STATIC' WindowName: '00000B4C_PID_FastMM'
- ClassName: 'TAppBuilder' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
