Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSMSGS' = '"%PROGRAM_FILES%\Messenger\msmsgs.exe" /background'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{2bf41073-b2b1-21c1-b5c1-0701f4155588}] 'StubPath' = ''
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Web Publish\temp[7].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[6].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[8].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[10].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[9].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[5].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[1].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\IDrivers.pif
- %PROGRAM_FILES%\Web Publish\temp[2].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[4].exe (загружен из сети Интернет)
- %PROGRAM_FILES%\Web Publish\temp[3].exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c c:\Deleteme.bat
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\SOFTWARE\Microsoft\MessengerService]
- [<HKCU>\Software\Microsoft\MessengerService]
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Web Publish\temp[7].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\8[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\7[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\upbak[1].asp
- %PROGRAM_FILES%\Web Publish\temp[6].exe
- %PROGRAM_FILES%\Web Publish\temp[8].exe
- %PROGRAM_FILES%\Web Publish\temp[10].exe
- C:\Deleteme.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\6[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\9[1].exe
- %PROGRAM_FILES%\Web Publish\temp[9].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\2[1].exe
- %PROGRAM_FILES%\Web Publish\temp[2].exe
- %PROGRAM_FILES%\Web Publish\temp[1].exe
- %PROGRAM_FILES%\Web Publish\IDrivers.pif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\1[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\3[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\5[1].exe
- %PROGRAM_FILES%\Web Publish\temp[5].exe
- %PROGRAM_FILES%\Web Publish\temp[4].exe
- %PROGRAM_FILES%\Web Publish\temp[3].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\4[1].exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\Web Publish\IDrivers.pif
Самоудаляется.
Сетевая активность:
Подключается к:
- 'co##.47555.com':80
- 'www.86##.net':80
- 'localhost':1034
TCP:
Запросы HTTP GET:
- www.86##.net/7.exe
- co##.47555.com/upbak.asp
- www.86##.net/8.exe
- www.86##.net/6.exe
- www.86##.net/9.exe
- www.86##.net/2.exe
- www.86##.net/1.exe
- www.86##.net/3.exe
- www.86##.net/5.exe
- www.86##.net/4.exe
UDP:
- DNS ASK co##.47555.com
- DNS ASK www.86##.net
Другое:
Ищет следующие окна:
- ClassName: 'TForm1' WindowName: ''
- ClassName: 'LANDeskVPC32' WindowName: 'Symantec AntiVirus'
- ClassName: 'Q360SafeMainClass' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MSBLClass' WindowName: ''
- ClassName: 'TFireWall_Form' WindowName: ''
- ClassName: 'RavMonClass' WindowName: 'RavMon.exe'
- ClassName: '' WindowName: '???????????? KV2004??????????'
- ClassName: '' WindowName: 'Symantec AntiVirus ??????'
- ClassName: 'Tapplication' WindowName: '????????????????'
- ClassName: 'TfLockDownMain' WindowName: ''
- ClassName: 'ZAFrameWnd' WindowName: 'ZoneAlarm'
