Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System32' = '"%PROGRAM_FILES%\SYSCON~1\sysdiag.exe"'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- %PROGRAM_FILES%\WinConfig\npf_mgm.exe -r
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %WINDIR%\sysk32.dll
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'AOL Frame25' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\WinConfig\npf_mgm.exe
- <SYSTEM32>\packet.dll
- <SYSTEM32>\wpcap.dll
- <SYSTEM32>\pthreadVC.dll
- <SYSTEM32>\WanPacket.dll
- <DRIVERS>\npf.sys
- %TEMP%\0HB5ALHO\driver-setup\presetup.bmp
- %TEMP%\0HB5ALHO\driver-setup\presetup.rgn
- %TEMP%\0HB5ALHO\driver-setup\db.pdb
- %TEMP%\0HB5ALHO\driver-setup\lng\Enu.lng
- %TEMP%\0HB5ALHO\driver-setup\main.pdb
- %PROGRAM_FILES%\sysconfig\charts.swf
- %PROGRAM_FILES%\sysconfig\cl3d.swf
- %PROGRAM_FILES%\sysconfig\autoi.sys
- %ALLUSERSPROFILE%\Application Data\AgentSS\wincfg1.ssf
- %ALLUSERSPROFILE%\Application Data\emopts.dat
- %PROGRAM_FILES%\sysconfig\AC_RunActiveContent.js
- <SYSTEM32>\msvcr70.dll
- %PROGRAM_FILES%\sysconfig\svchost.exe
- %WINDIR%\Base64.dll
- %WINDIR%\jimglib.dll
- %WINDIR%\sassr.dat
- %TEMP%\0HB5ALHO\Resume.exe
- %PROGRAM_FILES%\sysconfig\concealer.exe
- %WINDIR%\sadefs.dat
- %ALLUSERSPROFILE%\Application Data\defs.tmp
- %WINDIR%\imglib.dll
- %PROGRAM_FILES%\sysconfig\sysdiag.exe
- %TEMP%\~vis0000\rollback.log
- %TEMP%\~vis0000\English.vlg
- %TEMP%\~vis0000\vise32ex.dll
- %TEMP%\~vis0000\miscdata.xyz
- %TEMP%\~vis0000\default.bmp
- %TEMP%\~vis0000\rebootnt.exe
- %WINDIR%\sview.exe
- %WINDIR%\clfct.dll
- <SYSTEM32>\sinvfct.dll
- %TEMP%\0HB5ALHO\unpack.dll
- %PROGRAM_FILES%\sysconfig\driver-setup.exe
- %ALLUSERSPROFILE%\Application Data\saopts.dat
- %PROGRAM_FILES%\sysconfig\NoStealth.exe
- %PROGRAM_FILES%\sysconfig\services.exe
- %PROGRAM_FILES%\sysconfig\license.txt
- %WINDIR%\SNMPAPI.DLL
- %WINDIR%\sysk32.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\sysconfig\concealer.exe
- %ALLUSERSPROFILE%\Application Data\saopts.dat
- <SYSTEM32>\sinvfct.dll
- %PROGRAM_FILES%\sysconfig\svchost.exe
Удаляет следующие файлы:
- %TEMP%\~vis0000\default.bmp
- %TEMP%\~vis0000\English.vlg
- %TEMP%\0HB5ALHO\unpack.dll
- %PROGRAM_FILES%\sysconfig\driver-setup.exe
- %TEMP%\~vis0000\vise32ex.dll
- %PROGRAM_FILES%\WinConfig\npf_mgm.exe
- %TEMP%\~vis0000\rebootnt.exe
- %TEMP%\~vis0000\rollback.log
- %TEMP%\0HB5ALHO\driver-setup\db.pdb
- %TEMP%\0HB5ALHO\driver-setup\lng\Enu.lng
- %TEMP%\~vis0000\miscdata.xyz
- %ALLUSERSPROFILE%\Application Data\defs.tmp
- %TEMP%\0HB5ALHO\driver-setup\presetup.rgn
- %TEMP%\0HB5ALHO\Resume.exe
- %TEMP%\0HB5ALHO\driver-setup\main.pdb
- %TEMP%\0HB5ALHO\driver-setup\presetup.bmp
Сетевая активность:
Подключается к:
- 'localhost':1034
UDP:
- DNS ASK www.sp###ch-web.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: 'svchost.exe'
- ClassName: 'SpyAgent_HWND32' WindowName: ''
- ClassName: 'PCHShell Window' WindowName: 'System Information'
- ClassName: '#32770' WindowName: 'svchost.exe - Application Error'
- ClassName: '#32770' WindowName: 'Windows - No Disk'
- ClassName: '#32770' WindowName: 'Microsoft Visual C++ Runtime Library'
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'OperaWindowClass' WindowName: ''
- ClassName: 'BrowserFrameGripperClass' WindowName: ''
- ClassName: '#32770' WindowName: 'System Configuration Utility'
- ClassName: '' WindowName: 'Microsoft System Information'
- ClassName: 'ExploreWClass' WindowName: ''
- ClassName: 'OpWindow' WindowName: ''
- ClassName: '{1C03B488-D53B-4a81-97F8-754559640193}' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MozillaWindowClass' WindowName: ''
- ClassName: 'MozillaUIWindowClass' WindowName: ''
- ClassName: 'Chrome_XPFrame' WindowName: ''
- ClassName: '#32770' WindowName: 'sysdiag.exe'
- ClassName: '#32770' WindowName: 'sysdiag.exe - Application Error'
- ClassName: '#32770' WindowName: 'sysdiag.exe - No Disk'
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: 'BLDOPERA' WindowName: ''
- ClassName: 'DeployHWND32' WindowName: ''
