Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\is-VTF4H.tmp\is-DA8B1.tmp' /SL4 $40092 %TEMP%\dvdshrink32setup.exe 887704 50688
- '%CommonProgramFiles%\svchost.exe'
- '%TEMP%\dvdshrink32setup.exe'
- '%TEMP%\ntdll.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\Deleteme.bat
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnOnZoneCrossing' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\mscd.exe
- %TEMP%\is-U26CC.tmp\_shfoldr.dll
- C:\tmp00006.hiv
- %WINDIR%\Deleteme.bat
- %CommonProgramFiles%\msdp.dll
- %TEMP%\ntdll.exe
- %TEMP%\dvdshrink32setup.exe
- %CommonProgramFiles%\svchost.exe
- %TEMP%\is-VTF4H.tmp\is-DA8B1.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %CommonProgramFiles%\mscd.exe
- %CommonProgramFiles%\msdp.dll
- %CommonProgramFiles%\svchost.exe
Удаляет следующие файлы:
- %TEMP%\ntdll.exe
- C:\tmp00006.hiv
Сетевая активность:
Подключается к:
- 'hl####w.3322.org':8850
- '74.##5.232.51':80
UDP:
- DNS ASK hl####w.3322.org
- DNS ASK www.google.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
