Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Intel(R)' = '%APPDATA%\Roaming\svscrypte.vbs'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Intel(R)' = '%APPDATA%\Roaming\svscrypte.vbs'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- '%TEMP%\wz0GzOsUmE.exe'
- '%TEMP%\wz0GzOsUmE.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' config srservice start= Auto
- '<SYSTEM32>\sc.exe' config srservice start= disabled
- '<SYSTEM32>\net.exe' stop srservice
- '<SYSTEM32>\WScript.exe' "%TEMP%\RarSFX0\svscrypte.vbs"
- '<SYSTEM32>\net1.exe' stop srservice
- '<SYSTEM32>\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Intel(R) /t REG_SZ /d "%APPDATA%\Roaming\svscrypte.vbs" /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\svscrypte.bat" "
- '<SYSTEM32>\reg.exe' ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Intel(R) /t REG_SZ /d "%APPDATA%\Roaming\svscrypte.vbs" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policiees\Explorer\Run /v Intel(R) /t REG_SZ /d "%APPDATA%\Roaming\svscrypte.vbs" /f
- '<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policiees\Explorer\Run /v Intel(R) /t REG_SZ /d "%APPDATA%\Roaming\svscrypte.vbs" /f
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Cab4771.tmp
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab479A.tmp
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\8DFDF057024880D7A081AFBF6D26B92F
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\8DFDF057024880D7A081AFBF6D26B92F
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\6P5SDOMI\Update[1].exe
- %TEMP%\wz0GzOsUmE.exe
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\MetaData\62B5AF9BE9ADC1085C3C56EC07A82BF6
- <LS_APPDATA>Low\Microsoft\CryptnetUrlCache\Content\62B5AF9BE9ADC1085C3C56EC07A82BF6
- %TEMP%\CabC541.tmp
- %TEMP%\TarC542.tmp
- %TEMP%\RarSFX0\svscrypte.bat
- %TEMP%\RarSFX0\svscrypte.vbs
- %TEMP%\CabA0.tmp
- %TEMP%\TarA1.tmp
- %TEMP%\CabC5C0.tmp
- %TEMP%\TarC5C1.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\svscrypte.vbs
- %TEMP%\RarSFX0\svscrypte.bat
Удаляет следующие файлы:
- %TEMP%\Cab4771.tmp
- %TEMP%\TarA1.tmp
- %WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab479A.tmp
- %TEMP%\RarSFX0\svscrypte.vbs
- %TEMP%\RarSFX0\svscrypte.bat
- %TEMP%\TarC542.tmp
- %TEMP%\CabC541.tmp
- %TEMP%\CabC5C0.tmp
- %TEMP%\CabA0.tmp
- %TEMP%\TarC5C1.tmp
Сетевая активность:
Подключается к:
- 'localhost':62637
- 'cs######0-crl.verisign.com':80
- 'www.vi######gent-le-rotrou.fr':80
- 'www.download.windowsupdate.com':80
- 'oc##.#erisign.com':80
- 'crl.verisign.com':80
TCP:
Запросы HTTP GET:
- oc##.#erisign.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTSqZMG5M8TA9rdzkbCnNwuMAd5VgQUz5mp6nsm9EvJjo%2FX8AUm7%2BPSp50CEG57Y5WsW1yKKuzEUo2eZRA%3D
- cs######0-crl.verisign.com/CSC3-2010.crl
- www.vi######gent-le-rotrou.fr/files/Update.exe
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- oc##.#erisign.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBS56bKHAoUD%2BOyl%2B0LhPg9JxyQm4gQUf9Nlp8Ld7LvwMAnzQzn6Aq8zMTMCEFIA5aolVvwahu2WydRLM8c%3D
- crl.verisign.com/pca3-g5.crl
UDP:
- DNS ASK cs######0-crl.verisign.com
- DNS ASK www.vi######gent-le-rotrou.fr
- DNS ASK crl.verisign.com
- DNS ASK www.download.windowsupdate.com
- DNS ASK oc##.#erisign.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'OleMainThreadWndClass' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
