Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\svchost.exe' = '%APPDATA%\svchost.exe:*:Enabled:System Antivirus'
Создает и запускает на исполнение:
- '%APPDATA%\svchost.exe'
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' /Y /H /i "%APPDATA%\svchost.exe" "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%HOMEPATH%\Главное меню\Программы\Автозагрузка\svchost.exe" "System Antivirus" ENABLE
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %APPDATA%\базис.pdf
- '<SYSTEM32>\xcopy.exe' /Y /H /i "%APPDATA%\svchost.exe" "%HOMEPATH%\Главное меню\Программы\Автозагрузка\"
- '<SYSTEM32>\attrib.exe' +s "%APPDATA%\svchost.exe"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\install.vbs"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe" "System Antivirus" ENABLE
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\svchost.exe" "System Antivirus" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\базис.pdf
- %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
- %HOMEPATH%\Главное меню\Программы\Автозагрузка\svchost.exe
- %APPDATA%\install.cmd
- %APPDATA%\install.vbs
- %APPDATA%\svchost.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\svchost.exe
Сетевая активность:
Подключается к:
- 'lo###.icq.com':5190
UDP:
- DNS ASK lo###.icq.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
