Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\nat] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\nat.exe'
Завершает или пытается завершить
следующие пользовательские процессы:
- fsav32.exe
- outpost.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtQuerySystemInformation, драйвер-обработчик: nat.sys
- NtOpenProcess, драйвер-обработчик: nat.sys
Скрывает следующие процессы:
- <SYSTEM32>\nat.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\LocalService\Favorites\Desktop.ini
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\cmd[1].htm
- <SYSTEM32>\x86.rom
- <SYSTEM32>\nat.exe
- <DRIVERS>\nat.sys
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\LocalService\Favorites\Desktop.ini
- <SYSTEM32>\nat.exe
Сетевая активность:
Подключается к:
- 'cr###oid.info':80
- 'localhost':1037
- '<IP-адрес в локальной сети>':3421
UDP:
- DNS ASK cr###oid.info
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
