Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftDWIntl20' = '%CommonProgramFiles%\microsoft shared\dw\1033\reportingdwintl20.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'WindowsWindows' = '%PROGRAM_FILES%\outlook express\wabmigsystem.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'MSVMLGraphics' = '%CommonProgramFiles%\microsoft shared\vgx\vectorgraphics.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'MicrosoftReporting' = '%CommonProgramFiles%\microsoft shared\dw\3082\microsofterror.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] '<Имя вируса>' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'OperatingOperating' = '%PROGRAM_FILES%\internet explorer\connection wizard\isignupmicrosoft.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftDAO36003.60.8618.0' = '%CommonProgramFiles%\microsoft shared\dao\dao360microsoft.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\Connection Wizard\ISIGNUPMicrosoft.exe'
- '%CommonProgramFiles%\Microsoft Shared\DW\3082\MicrosoftError.exe'
- '%PROGRAM_FILES%\Outlook Express\WABMIGSystem.exe'
- '%CommonProgramFiles%\Microsoft Shared\DAO\DAO360Microsoft.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\qas2.tmp
- %CommonProgramFiles%\Microsoft Shared\VGX\VectorGraphics.exe
- %TEMP%\qas3.tmp
- %TEMP%\qas5.tmp
- %TEMP%\qas4.tmp
- %CommonProgramFiles%\Microsoft Shared\DW\3082\MicrosoftError.exe
- %PROGRAM_FILES%\Outlook Express\WABMIGSystem.exe
- %TEMP%\qas1.tmp
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\ISIGNUPMicrosoft.exe
- %CommonProgramFiles%\Microsoft Shared\DW\1033\ReportingDWIntl20.exe
- %CommonProgramFiles%\Microsoft Shared\DAO\DAO360Microsoft.exe
Удаляет следующие файлы:
- %TEMP%\qas3.tmp
- %TEMP%\qas4.tmp
- %TEMP%\qas5.tmp
- %TEMP%\qas1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\v=31&step=2&hostid=5F5C1BC2B801AC7FFB1A22FB75A3789B[1]
- %TEMP%\qas2.tmp
Сетевая активность:
Подключается к:
- 'ht####resrun.com':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- ht####resrun.com/httpss/v=31&step=2&hostid=5F5C1BC2B801AC7FFB1A22FB75A3789B
UDP:
- DNS ASK 14######73.httpsquer.com
- DNS ASK ms#.com
- DNS ASK 14######65.httpsquer.com
- DNS ASK 14######22.httpsquer.com
- DNS ASK ya##o.com
- DNS ASK 14######75.httpsquer.com
- DNS ASK 14######57.httpsquer.com
- DNS ASK windowsupdate.microsoft.com
- DNS ASK ht####resrun.com
- DNS ASK 14######09.httpsquer.com
- DNS ASK google.com
- DNS ASK 14######47.httpsquer.com
- DNS ASK up####.microsoft.com
