Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'Convertersmsconv97' = '%CommonProgramFiles%\microsoft shared\textconv\msconv97document.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'PinballPinball' = '%PROGRAM_FILES%\windows nt\pinball\pinballpinball.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftWindows' = '%PROGRAM_FILES%\internet explorer\connection wizard\icwhelpsystem.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftSoap' = '%CommonProgramFiles%\mssoap\binaries\resources\1033\soapsoap.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] '<Имя вируса>' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsWEXTRACT5.50.4134.600' = '%PROGRAM_FILES%\msn\msncorefiles\install\msn9components\wextractwextract5.50.4134.600.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'OperatingSystem' = '%CommonProgramFiles%\microsoft shared\speech\1033\operatingmicrosoft.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%CommonProgramFiles%\Microsoft Shared\TextConv\msconv97Document.exe'
- '%CommonProgramFiles%\MSSoap\Binaries\Resources\1033\SoapSoap.exe'
- '%CommonProgramFiles%\Microsoft Shared\Speech\1033\OperatingMicrosoft.exe'
- '%PROGRAM_FILES%\MSN\MSNCoreFiles\Install\MSN9Components\WEXTRACTWextract5.50.4134.600.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\w2.tmp
- %CommonProgramFiles%\MSSoap\Binaries\Resources\1033\SoapSoap.exe
- %TEMP%\w3.tmp
- %TEMP%\w5.tmp
- %TEMP%\w4.tmp
- %PROGRAM_FILES%\Internet Explorer\Connection Wizard\icwhelpSystem.exe
- %CommonProgramFiles%\Microsoft Shared\Speech\1033\OperatingMicrosoft.exe
- %TEMP%\w1.tmp
- %PROGRAM_FILES%\Windows NT\Pinball\PinballPINBALL.exe
- %CommonProgramFiles%\Microsoft Shared\TextConv\msconv97Document.exe
- %PROGRAM_FILES%\MSN\MSNCoreFiles\Install\MSN9Components\WEXTRACTWextract5.50.4134.600.exe
Удаляет следующие файлы:
- %TEMP%\w3.tmp
- %TEMP%\w4.tmp
- %TEMP%\w5.tmp
- %TEMP%\w1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\v=59&step=2&hostid=5F5C1BC2B801AC7FFB1A22FB75A3789B[1]
- %TEMP%\w2.tmp
Сетевая активность:
Подключается к:
- 'ht###ive.net':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- ht###ive.net/httpss/v=59&step=2&hostid=5F5C1BC2B801AC7FFB1A22FB75A3789B
UDP:
- DNS ASK 14#####136.httpsea.comt
- DNS ASK 14#####130.httpsea.comt
- DNS ASK 14#####123.httpsea.comt
- DNS ASK 14#####168.httpsea.comt
- DNS ASK 14#####167.httpsea.comt
- DNS ASK 14#####151.httpsea.comt
- DNS ASK 14#####115.httpsea.comt
- DNS ASK ht###ive.net
- DNS ASK 14#####062.httpsea.comt
- DNS ASK 14#####061.httpsea.comt
- DNS ASK www.ya##o.com
- DNS ASK www.microsoft.com
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
