Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'SvcSys' = '{95A20C28-B534-4657-9143-192C5F22F194}'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\explorer.exe' = '%WINDIR%\explorer.exe:*:Enabled:explorer'
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: <SYSTEM32>\svcsys.dll
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\stat[1].php
- <SYSTEM32>\svcsys.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\stat[1].php
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\stat[1].php
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ar##a.com':80
- 'ac#####caudiobooks.com':80
- 'yo##rt.com':80
- 'www.si###ea.info':80
- 'bu###ogss.com':80
- 'www.fl#####netservices.com':80
- 'www.ar####stige.co.il':80
- 'fr######ergerwaldfest.de':80
TCP:
Запросы HTTP GET:
- ar##a.com/images/portfolio/stat.php?id############
- ac#####caudiobooks.com/guitar/acdc/back%20in%20black/stat.php?id############
- yo##rt.com/counter/stat.php?id############
- www.si###ea.info/images/stat.php?id############
- bu###ogss.com/forum/images/stat.php?id############
- www.fl#####netservices.com/images/stat.php?id########################
- www.ar####stige.co.il/img/events/stat.php?id############
- fr######ergerwaldfest.de/images/icons/stat.php?id############
UDP:
- DNS ASK ar##a.com
- DNS ASK ac#####caudiobooks.com
- DNS ASK yo##rt.com
- DNS ASK www.si###ea.info
- DNS ASK bu###ogss.com
- DNS ASK www.fl#####netservices.com
- DNS ASK www.ar####stige.co.il
- DNS ASK fr######ergerwaldfest.de
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: '(null)'
- ClassName: 'SystemTray_Main' WindowName: '(null)'
- ClassName: 'CSCHiddenWindow' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Proxy Desktop' WindowName: '(null)'
- ClassName: 'BaseBar' WindowName: 'ChanApp'
